Con il provvedimento n. 492 del 3 luglio 2026, reso pubblico attraverso il comunicato stampa del 3 settembre 2026, il Garante per la protezione dei dati personali ha dichiarato illecita la diffusione non autorizzata di un file audio e di alcuni contenuti estratti da una conversazione privata via chat tra Raoul Bova e una terza persona, pubblicati da Fabrizio Corona sui social e su altre piattaforme digitali nell’ambito del format Falsissimo. Il provvedimento chiude una complessa istruttoria, avviata dopo alcuni interventi urgenti in via cautelare, ribadendo concetti già noti.
Il nodo giuridico principale viene individuato nel bilanciamento tra libertà di informazione e tutela della riservatezza. Sul piano costituzionale, si tratta del rapporto tra l’art. 21 Cost. e i diritti inviolabili della persona ex art. 2 Cost.; sul piano della disciplina di protezione dei dati, il perno è l’art. 85 GDPR, che demanda agli Stati membri il compito di conciliare il diritto alla protezione dei dati con la libertà di espressione e di informazione. In Italia questo raccordo passa per l’art. 137 del Codice privacy (D.lgs. 196/2003) e per le Regole deontologiche relative al trattamento di dati personali nell’esercizio dell’attività giornalistica, il cui art. 6 codifica il principio di essenzialità dell’informazione: la diffusione di dati personali è ammessa nei limiti dell’indispensabilità rispetto a fatti di interesse pubblico.
Il punto di frizione, nella prassi, è sempre lo stesso: quando la notorietà del soggetto trasforma qualunque dettaglio della sua vita privata in “notizia” occorre verificare la rilevanza e l'essenzialità dell'informazione, peculiare ai fini della qualificazione di attività giornalistica o no.
In merito alla decisione, il primo principio ribadito è che la notorietà non è, di per sé, titolo di legittimazione. Il Garante afferma che la notorietà di una persona non autorizza la divulgazione di dati e informazioni attinenti alla sua sfera privata quando questi non rivestono un effettivo interesse pubblico. La distinzione decisiva è tra interesse pubblico e interesse del pubblico, difatti, la curiosità collettiva verso la vita di un personaggio noto non coincide con l’utilità sociale della notizia. È la differenza tra ciò che al pubblico interessa e ciò che è rilevante per la collettività.
Il secondo passaggio applica il principio di essenzialità in quanto la diffusione di stralci di conversazioni intime e affettive eccede il limite dell’indispensabilità e non informa su un fatto di rilievo pubblico. Da qui il contrasto, testualmente rilevato dal Garante, con i principi di liceità, correttezza e minimizzazione di cui all’art. 5 GDPR, di conseguenza, non è la notizia in sé a essere illecita, ma la modalità e l’ampiezza dell’esposizione, sganciate da qualsiasi funzione informativa.
Il terzo passaggio riguarda la finalità della condotta in quanto l’Autorità qualifica la diffusione come posta in essere con finalità di spettacolarizzazione e alimentazione del gossip, con un pregiudizio significativo alla reputazione e alla riservatezza dell’interessato. È la finalità, prima ancora del contenuto, a far cadere l’ombrello dell’esimente giornalistica: dove manca l’interesse pubblico e domina l’intento di intrattenimento, il trattamento non trova copertura nell’art. 85 GDPR.
Il quarto elemento è l’aggravante del mezzo. La diffusione attraverso social media e piattaforme digitali ha amplificato la portata e gli effetti della violazione poiché la viralità non è una circostanza neutra: moltiplica il danno e incide sulla gravità della condotta.
Il profilo più discusso del provvedimento non è l’accertamento dell’illecito, solido e prevedibile ma la sua traduzione sanzionatoria. Il Garante costruisce un quadro di massima gravità che denota una violazione grave, natura particolarmente delicata dei dati, intento di spettacolarizzazione, aggravanti legate alla viralità e al danno reputazionale, e persino la possibile monetizzazione del format e mentre l’art. 83 GDPR consente, per violazioni di questo tipo, sanzioni fino a 20 milioni di euro la sanzione irrogata risulta invece di 4.950 euro.
La ragione è nel meccanismo dell’art. 83 GDPR, che impone sanzioni effettive, proporzionate e dissuasive e richiede di calibrarle sulle condizioni concrete del destinatario. Dagli accertamenti svolti non risultano redditi fiscalmente dichiarati riconducibili a Corona, né a società collegate, salvo importi definiti “estremamente esigui” per il 2025. Il bilanciamento tra gravità della condotta e capacità economica formalmente rilevata produce così una sanzione contenuta, ulteriormente riducibile a 2.475 euro in caso di pagamento entro trenta giorni.
Qui si apre la questione che va oltre il singolo caso: la distanza tra il potere mediatico osservabile e la capacità economica fiscalmente dichiarata, un impianto sanzionatorio ancorato al reddito formale che rischia di risultare poco dissuasivo proprio verso chi genera valore economico attraverso l’esposizione, ma non lo fa emergere nelle dichiarazioni. Il provvedimento è ineccepibile nel metodo; è il metodo stesso, applicato a figure di questo tipo, a mostrare un limite strutturale del criterio reddituale come parametro di proporzionalità.
Avv. Umberto Mottola
