Sanzione RAI Garante Privacy: 150.000 euro per diffusione di un audio privato. Cosa insegna alle aziende sui poteri dell’Autorità.
La vicenda
La recente sanzione alla RAI del Garante Privacy ha acceso i riflettori sul ruolo e sui poteri dell’Autorità italiana per la protezione dei dati personali.
Il provvedimento riguarda la diffusione di un audio privato del ministro della Cultura, Gennaro Sangiuliano, mandato in onda all’interno del programma televisivo “Report”. L’audio, registrato durante una telefonata privata tra il ministro e la moglie Federica Corsini, era stato diffuso senza il consenso degli interessati e al di fuori di un contesto di pubblico interesse immediato.
Secondo quanto riportato dal Garante per la protezione dei dati personali, la trasmissione ha comportato una violazione dei principi di liceità e necessità del trattamento, in quanto il contenuto dell’audio non era indispensabile ai fini dell’inchiesta giornalistica. L’istruttoria è stata avviata a seguito delle segnalazioni presentate da una delle persone coinvolte e di un’attività d’ufficio dell’Autorità, che ha ritenuto necessario verificare la correttezza del trattamento dei dati diffusi.
Per questo motivo, il Garante ha inflitto alla RAI una sanzione di 150.000 euro, ribadendo che anche l’attività giornalistica deve rispettare i limiti previsti dal GDPR e dal Codice Privacy quando vengono trattati dati personali.
Il ruolo del Garante Privacy
Il Garante per la protezione dei dati personali è un’Autorità amministrativa indipendente che vigila sull’applicazione GDPR e del Codice della Privacy.
La sua funzione principale è garantire che i dati personali siano trattati in modo lecito, corretto e trasparente, proteggendo i diritti e le libertà fondamentali delle persone fisiche.
Non è un organo politico ma tecnico e autonomo: opera in piena indipendenza e può intervenire su aziende, enti pubblici e privati cittadini quando rileva un trattamento illecito o scorretto dei dati personali.
I poteri del Garante per la Protezione dei Dati Personali
La sanzione alla RAI da parte del Garante Privacy è un esempio concreto dei poteri che la legge attribuisce all’Autorità, articolati in tre categorie principali:
1. Poteri di indagine e controllo
Il Garante può chiedere informazioni, documenti e accedere ai locali di enti e aziende. Può condurre ispezioni dirette o tramite la Guardia di Finanza, verificando la conformità delle procedure aziendali al GDPR.
2. Poteri correttivi e sanzionatori
Quando accerta una violazione, può:
- ammonire il titolare o il responsabile del trattamento;
- ordinare la limitazione, sospensione o cancellazione dei dati trattati;
- imporre sanzioni pecuniarie proporzionate alla gravità della violazione.
Nel caso RAI, la sanzione economica è stata accompagnata da un richiamo al rispetto del principio di proporzionalità nel trattamento dei dati personali a fini giornalistici.
3. Poteri consultivi e autorizzativi
Il Garante fornisce pareri su provvedimenti normativi, codici di condotta e meccanismi di certificazione. Inoltre, rilascia autorizzazioni per trattamenti particolari, come quelli relativi a dati giudiziari o sensibili.
Per approfondire > Ispezioni Garante Privacy? Niente panico, ecco cosa fare
Altre funzioni istituzionali
Oltre ai poteri ispettivi e sanzionatori, il Garante svolge ulteriori compiti fondamentali per assicurare la tutela effettiva dei dati personali:
- collaborazione e cooperazione internazionale: lavora con le altre Autorità europee di protezione dati e partecipa ai meccanismi di assistenza reciproca, contribuendo al coordinamento delle attività a livello UE (ad esempio con EDPB, Europol, Schengen, VIS);
- attività normativa e consultiva: fornisce pareri e segnalazioni su proposte legislative e regolamentari, partecipa a audizioni presso il Parlamento e può sollecitare interventi normativi in materia di privacy;
- relazione annuale al Parlamento e al Governo: ogni anno illustra l’attività svolta e lo stato di attuazione della normativa in materia di protezione dei dati;
- sensibilizzazione e informazione pubblica: promuove la consapevolezza dei cittadini, delle aziende e dei minori sul valore della protezione dei dati personali attraverso campagne, formazione e materiali divulgativi;
- gestione dei reclami e delle segnalazioni: riceve e analizza reclami da parte degli interessati, adottando provvedimenti nei casi di violazioni del Regolamento;
- registri interni e consultazioni pubbliche: tiene un registro delle violazioni più rilevanti e coinvolge cittadini e imprese tramite consultazioni pubbliche per definire provvedimenti generali.
Come nasce un procedimento sanzionatorio
Un intervento del Garante può partire da:
- una segnalazione o reclamo di un cittadino;
- un’attività d’ufficio dell’Autorità;
- o in seguito a notizie diffuse dai media.
Dopo la fase istruttoria e l’acquisizione di informazioni, il Garante valuta se vi siano violazioni dei principi del GDPR.
Nel caso della RAI, l’istruttoria ha stabilito che la diffusione dell’audio non rispondeva ai criteri di necessità e interesse pubblico prevalente che giustificano l’esenzione giornalistica.
L’Autorità ha quindi deciso per una sanzione pecuniaria e ha ricordato che la libertà di stampa, pur costituzionalmente garantita, non è un diritto assoluto e deve conciliarsi con la tutela dei dati personali.
Le procedure sanzionatorie non si limitano ai casi mediatici: la stessa logica di accertamento vale anche per le imprese, dove il Garante valuta la correttezza del trattamento e la capacità di dimostrare la conformità.
Cosa significa per le aziende
Il caso RAI evidenzia quanto l’Autorità sia pronta a intervenire in qualsiasi ambito — pubblico o privato — quando viene meno il rispetto dei principi di liceità e proporzionalità nel trattamento dei dati.
Per le imprese, è un richiamo concreto all’importanza di gestire la privacy come parte integrante della governance aziendale, non come semplice adempimento.
Questo implica procedure chiare, ruoli definiti, tracciabilità delle attività e formazione continua del personale che tratta dati.
Le ispezioni e le sanzioni del Garante non colpiscono solo i grandi casi mediatici: spesso riguardano anche piccole aziende dove la non conformità deriva da documentazione incompleta o da un controllo interno insufficiente.
La lezione del caso RAI
Il provvedimento contro la RAI mostra come la protezione dei dati non sia un obbligo burocratico, ma un principio di responsabilità e correttezza verso gli interessati.
Il Garante Privacy non punisce l’informazione, ma interviene quando un trattamento eccede i limiti di necessità e proporzionalità. È la prova che la libertà di stampa e la tutela dei dati possono coesistere, purché guidate da criteri di equilibrio.
Per le aziende, la lezione è chiara: il rispetto del GDPR non serve solo a evitare sanzioni, ma a dimostrare affidabilità, costruire fiducia e prevenire danni reputazionali.
Un sistema privacy solido, basato su controlli periodici e documentazione verificabile, è oggi un segnale di maturità organizzativa e di rispetto verso clienti e dipendenti.
Il provvedimento completo è disponibile qui.
GDPRLab supporta le aziende nella gestione della privacy e nella conformità al GDPR, offrendo consulenza, formazione e servizi DPO.
