[doc. web n. 10191645]

Provvedimento del 9 ottobre 2025

Registro dei provvedimenti
n. 591 del 9 ottobre 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il Cons. Angelo Fanizza, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018 n. 101, recante disposizioni per l'adeguamento dell’ordinamento nazionale al citato Regolamento (di seguito “Codice”);

VISTO il regolamento n. 1/2019 del Garante concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE l’avv. Guido Scorza;

PREMESSO

1. L’ATTIVITÀ ISTRUTTORIA SVOLTA

Con reclamo del 18 luglio 2024 la sig.ra XX ha lamentato la pubblicazione e la divulgazione del proprio indirizzo di residenza da parte della struttura ricettiva Camping Don Diego di XX (di seguito anche la Società), prospettando una violazione delle disposizioni del Regolamento e del Codice.

In particolare, la reclamante ha riferito di aver scritto una recensione alla struttura nel mese di luglio 2024 e di aver ricevuto riscontro, il tutto attraverso la piattaforma denominata “google travel”; in tale risposta la Società ha riportato, tra l’altro, anche l’indirizzo di residenza della reclamante.

Dopo le prime interlocuzioni con il titolare del trattamento, il quale ha anche presentato istanza di accesso agli atti regolarmente evasa (rispettivamente, istanza prot. n. 124079/24 del 23 ottobre 2024 e riscontro prot. n. 132873/24 del 12 novembre 2024), l’Ufficio ha notificato l’atto di avvio del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori ai sensi dell’art. 166, comma 5 del Codice (prot. n. 3473/25 del 13 gennaio 2025), che qui si intende integralmente richiamato. Con tale atto è stata prospettata la possibile violazione degli artt. 5, comma 1, lett. a) e b) e 6 del Regolamento in quanto il titolare del trattamento ha diffuso in rete illecitamente l’indirizzo di residenza della reclamante in assenza di idonea base giuridica e per finalità diverse da quelle che ne avevano determinato la relativa raccolta.

Con proprie memorie difensive (prot. n. 18004/25 del 12 febbraio 2025) in linea con le note già inviate all’Ufficio (prot. n. 141934/24 del 3 dicembre 2024), la Società ha sostenuto di non aver violato alcuna norma del Regolamento, precisando che “il reclamato utilizzo del solo indirizzo […] risulta certamente strumentale e necessario da parte di questo titolare del Camping Don Diego a dare doveroso riscontro alla “recensione negativa” sul portale di Google”.

Con la richiamata memoria difensiva, oltre ad aver formulato eccezioni procedurali (di cui si argomenterà meglio in seguito), la Società ha formulato anche a) istanza di proroga per permettere l’estensione del contraddittorio ad un terzo interessato (non accolta) e b) istanza di fissazione di audizione (poi svoltasi il 25 febbraio 2025).

Da ultimo si prende atto che la Società, con comunicazione datata 28 febbraio 2025, ha dichiarato di aver cancellato i dati di residenza dell’interessata, in adesione a quanto richiesto nel reclamo.

2. VALUTAZIONI DI ORDINE GIURIDICO

Valutate le evidenze prodotte e le argomentazioni formulate durante l’istruttoria, l’Autorità ritiene sussistente la contestata violazione degli artt. 5, comma 1, lett. a) e b) e 6 del Regolamento in quanto il titolare del trattamento ha diffuso in rete illecitamente l’indirizzo di residenza della reclamante in assenza di idonea base giuridica e per finalità diverse da quelle che ne avevano determinato la relativa raccolta.

Prima di entrare nel merito di quanto lamentato, è necessario valutare quanto eccepito in via preliminare dal titolare sotto il profilo della inammissibilità e della improcedibilità del reclamo.

Infatti, la Società ha formulato eccezioni di inammissibilità e di improcedibilità del reclamo in quanto, da un lato, l’Autorità non avrebbe osservato la prescrizione dell’art. 15 par. 3 del Regolamento per mancanza dell’invito alla reclamante a rivolgersi, preliminarmente, al titolare del trattamento; dall’altro, secondo la ricostruzione della Società, il contraddittorio avrebbe dovuto essere integrato con l’intervento di una sua dipendente citata dalla reclamante nella recensione rilasciata alla medesima struttura richiamando, peraltro, l’art. 10 comma 4 del regolamento 1/2019 del Garante, disposizione che riguarda la possibile trattazione congiunta di più affari nel medesimo procedimento.
Le eccezioni così come formulate non appaiono fondate in relazione a nessuno dei due profili citati.

In primo luogo si rappresenta che l’operatività del par. 3 dell’art. 15 citato è delimitata da quanto indicato dal precedente par. 1 dello stesso articolo che fa riferimento ai “reclami che abbiano ad oggetto, in via esclusiva, la violazione degli articoli da 15 a 22 del RGPD”. Nel caso di specie, invece, la reclamante ha lamentato “[la pubblicazione] e di conseguenza [la divulgazione] su GOOGLE [de]l mio indirizzo di residenza senza il mio consenso in totale violazione delle disposizioni del Regolamento (Ue) 2016/679 e del Codice in materia di protezione dei dati personali”.

Pertanto, atteso che il reclamo non ha ad oggetto l’esclusiva violazione dei diritti di cui agli articoli dal 15 al 22 del Regolamento, l’eccezione formulata dal titolare non risulta fondata.

Quanto alla richiesta integrazione del contraddittorio, si rappresenta, quanto segue:

a. sotto un primo profilo, la persona indicata dal titolare, nella misura in cui ritenga sussistere una violazione dei propri dati personali può, in autonomia, far valere i propri diritti nei confronti del titolare del trattamento presentando reclamo all’Autorità e, soprattutto, senza la necessità di intervenire in un procedimento che, invece, si focalizza su profili specifici (legittimità del trattamento dai dati della reclamante da parte della Società). Inoltre, non è previsto che eventuali doglianze e interessi di terzi ad intervenire nel procedimento siano rappresentati dalla stessa Società;

b. nel caso di specie, come anticipato, il presente procedimento ha ad oggetto la verifica della fondatezza o meno delle violazioni lamentate dalla reclamante; e

c. infine, come detto, la disposizione del comma 4 dell’art. 10 del regolamento 1/2019 del Garante disciplina la possibilità di trattare organicamente più questioni sollevate contro un medesimo titolare, ovvero contro la stessa Società. Nel caso di specie, invece, sembra che l’intervento richiesto dal titolare non sia riconducibile a tale profilo ma, piuttosto, appare un intervento atto a supportare le proprie ragioni e, dunque, estraneo alla ratio della norma richiamata.

Se ne deduce che anche tale eccezione non risulta fondata.

Passando al merito del reclamo, come anticipato, dalle evidenze istruttorie risulta che la Società ha diffuso dati personali della reclamante in violazione delle disposizioni del Regolamento.

In particolare, la Società ha dichiarato di aver trattato i dati personali della reclamante (tra i quali vi è anche l’indirizzo di residenza) “a seguito della compilazione del Modulo predisposto e finalizzato a successiva registrazione sul nostro portale”, collegando lo stesso trattamento alle seguenti finalità:

- “dare seguito alle richieste come formulate e compilate sul nostro portale Camping Don Diego con le indicazioni rese relative agli alloggi e dal cliente selezionate, il numero delle persone a cui offrire i servizi, i costi per giorno nei dettagli ed il totale complessivo”;

- “Le finalità del trattamento risultano quelle strumentali, finalizzate alla gestione del servizi selezionati sul Modulo e poi erogati agli ospiti del Camping per il tutto il periodo del soggiorno”.

Il trattamento dei dati relativi all’indirizzo di residenza della reclamante risulta, dunque, connesso all’esecuzione di un contratto/di misure precontrattuali di cui alla lett. b) dell’art. 6, comma 1 del Regolamento.

Nel caso di specie, invece, la Società ha utilizzato i dati contestati per fornire riscontro alla reclamante attraverso la piattaforma denominata “google travel” (utilizzata dalla sig.ra XX per recensire la propria esperienza con la Società), concretizzando così una diffusione in rete dei relativi dati personali.

In tale contesto, l’utilizzo delle informazioni circa l’indirizzo di residenza della reclamante non è sorretto da idonea base giuridica in quanto non rientra nell’ambito della base giuridica indicata dal titolare, né rientra tra le collegate finalità del trattamento. Infatti, risulta che l’informazione circa l’indirizzo dell’interessato, fornito per finalità precontrattuale e, eventualmente, contrattuale per l’erogazione dei servizi della struttura, è stato diffuso in rete dalla Società per fornire riscontro ad una recensione ricevuta.

Né, d’altra parte, l’indicazione dell’indirizzo privato della reclamante è giustificata dal contesto fattuale dello scambio in questione (recensione e risposta), essendo tale informazione del tutto avulsa rispetto all’intervenuto scambio di considerazioni, anche di natura reciprocamente polemica, e venendo meno, dunque, anche la dichiarata necessità di utilizzare il dato in questione per fornire il proprio riscontro.

L’Autorità ritiene che il titolare del trattamento possa fornire utile riscontro ad una recensione ricevuta anche senza diffondere i dati di residenza della reclamante e, più in generale in casi analoghi, degli interessati di volta in volta coinvolti. Sul punto è bene ricordare che “i dati personali dovrebbero essere trattati solo se la finalità del trattamento non è ragionevolmente conseguibile con altri mezzi” (cfr. Considerando 39 del Regolamento). I dati personali devono essere trattati in modo lecito, corretto e trasparente nei confronti dell’interessato e, in base al principio di “limitazione delle finalità”, sono raccolti per finalità determinate, esplicite e legittime e successivamente trattati in modo che non sia incompatibile con tali finalità. Deve, inoltre, rilevarsi che, in base al principio di “minimizzazione”, i dati devono essere “limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, comma 1, lett. a, b) e c) del Regolamento).

Quanto appena rilevato, fa emergere una modalità illecita di trattamento dei dati personali che si pone in violazione anche dei più generali principi sanciti dall’art. 5 sopra citato.

Alla luce di quanto indicato, si ritiene accertata la violazione dell’art. 5, comma 1, lett. a), b) e c) e dell’art. 6 del Regolamento in quanto il titolare del trattamento ha diffuso in rete illecitamente l’indirizzo di residenza della reclamante in assenza di idonea base giuridica e per finalità diverse da quelle che ne aveva determinato la relativa raccolta.

L’Autorità, infine, ha verificato positivamente che la Società, come comunicato, ha provveduto alla cancellazione dei dati di residenza della reclamante pubblicati sulla piattaforma “google travel” (https://www.google.it/travel/hotels/entity/CgsI8oTrosSqi62KARAB/reviews?utm_campaign=sharing&utm_medium=link&utm_source=htls&ts=CAEaBAoCGgAqBAoAGgA).

3. CONCLUSIONI

Per quanto sopra esposto si ritiene accertata la responsabilità di Camping Don Diego di XX (P.IVA 01567970445), con sede legale in viale De Gasperi snc, 63066, Grottammare (AP), in persona del legale rappresentante p.t., in ordine alle violazioni degli artt. 5, comma 1, lett. a), b) e c) e art. 6 del Regolamento, per aver diffuso in rete illecitamente l’indirizzo di residenza della reclamante in assenza di idonea base giuridica e per finalità diverse da quelle che ne avevano determinato la relativa raccolta.

Accertata dunque l’illiceità delle condotte di Camping Don Diego di XX, con riferimento al trattamento preso in esame, si rende necessario rivolgere alla Società, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento, un ammonimento per aver effettuato un trattamento di dati personali (diffusione dell’indirizzo di residenza dell’interessata) in violazione delle norme sopra richiamate.
Al riguardo, tenuto conto dell’intervenuta cancellazione dell’informazione contestata e della modesta rilevanza della violazione, in ordine alla quale non sono stati evidenziati effetti pregiudizievoli per i diritti e le libertà dell’interessata, si ritiene non necessario procedere all’adozione di ulteriori provvedimenti di carattere prescrittivo e sanzionatorio.

TUTTO CIÒ PREMESSO IL GARANTE

rivolge alla società Camping Don Diego di XX (P.IVA 01567970445 e C.F. XX), con sede legale in viale De Gasperi snc, 63066, Grottammare (AP), in persona del legale rappresentante p.t., ai sensi dell’art. 58, par. 2, lett. b), del Regolamento, un ammonimento per aver diffuso in rete illecitamente l’indirizzo di residenza della reclamante in assenza di idonea base giuridica e per finalità diverse da quelle che ne avevano determinato la relativa raccolta in violazione degli artt. 5, comma 1, lett. a), b) e c) e art. 6 del Regolamento.

DISPONE

la pubblicazione del presente provvedimento, ai sensi degli artt. 154-bis del Codice e 37 del Regolamento n. 1/2019 nel sito web del Garante, e l’annotazione del medesimo nel registro interno dell’Autorità - previsto dall’art. 57, par. 1, lett. u), del Regolamento, nonché dall’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante - relativo alle violazioni e alle misure adottate in conformità all'art. 58, par. 2, del Regolamento stesso.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso.

Roma, 9 ottobre 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Fanizza