Riassunto
La semplice messa a disposizione online e a pagamento di sentenze di condanna non è automaticamente attività giornalistica. La Corte di giustizia UE individua i criteri che distinguono un autentico lavoro editoriale da una banca dati documentale e chiarisce quali tutele GDPR devono restare accessibili all’interessato.
PRIVACY, INFORMAZIONE E GIUSTIZIA DIGITALE
Sentenze penali online e GDPR: quando una banca dati non può invocare la finalità giornalistica
La Corte di giustizia dell’Unione europea chiarisce i confini dell’articolo 85 GDPR e distingue l’informazione giornalistica dalla semplice messa a disposizione, online e a pagamento, di provvedimenti di condanna.
Dott. Domenico Moretta
Criminalista forense – Digital & Audio Forensics Expert
Studioso di diritto delle nuove tecnologie e prova digitale
In sintesi. Un documento pubblico non diventa, per questo solo fatto, un dato liberamente riutilizzabile in qualsiasi banca dati. La finalità giornalistica non dipende dal mezzo utilizzato, né dalla gratuità del servizio, ma dall’esistenza di un autentico lavoro editoriale: selezione, contestualizzazione, verifica dei fatti e rispetto delle regole deontologiche.
Una premessa che rivolgo anzitutto a me stesso
Prima di entrare nel merito della sentenza, ritengo utile formulare una breve premessa. Non per impartire una lezione di diritto europeo, terreno che appartiene anzitutto ai giuristi che se ne occupano professionalmente, ma per chiarire il metodo con cui un criminalista può leggere una decisione della Corte di giustizia e comprenderne le ricadute operative.
Il diritto dell’Unione europea non è un livello normativo distante, destinato a rimanere confinato nelle istituzioni di Bruxelles o Lussemburgo. In materie come la protezione dei dati personali, la prova digitale, la cooperazione giudiziaria e la circolazione delle informazioni, esso incide direttamente sulle attività quotidiane di professionisti, imprese, autorità e giudici nazionali. Conoscerne almeno l’architettura essenziale non significa sostituirsi al giurista: significa evitare di leggere regole e decisioni italiane come se fossero isolate dal sistema nel quale ormai operano.
Regolamenti, direttive e sentenze: non tutto viene “recepito” allo stesso modo
Nel linguaggio comune si afferma spesso che una norma europea viene “recepita” nell’ordinamento italiano. L’espressione è corretta soprattutto per le direttive, che vincolano gli Stati membri quanto al risultato da raggiungere e richiedono, di regola, atti nazionali di trasposizione. Per i regolamenti il meccanismo è diverso: ai sensi dell’articolo 288 del Trattato sul funzionamento dell’Unione europea, essi sono obbligatori in tutti i loro elementi e direttamente applicabili in ciascuno Stato membro.
Il GDPR è, appunto, un regolamento. Non è stato recepito come una direttiva: è entrato direttamente nel nostro ordinamento. Il decreto legislativo n. 101 del 2018 ha adeguato la disciplina nazionale, coordinando il Codice privacy con il nuovo quadro europeo e disciplinando gli spazi che il regolamento rimette agli Stati membri.
Anche le sentenze della Corte di giustizia seguono una logica propria. Nella vicenda esaminata, un giudice svedese ha promosso un rinvio pregiudiziale ai sensi dell’articolo 267 TFUE, chiedendo alla Corte quale fosse la corretta interpretazione dell’articolo 85 GDPR. La Corte non decide la controversia nazionale al posto del giudice svedese e non approva una nuova legge europea: stabilisce il significato della norma dell’Unione. Tale interpretazione vincola il giudice del rinvio e costituisce il parametro che gli altri giudici nazionali devono osservare quando applicano la medesima disposizione.
Il caso Legal Newsdesk Sweden e la banca dati Lexbase
La sentenza del 9 luglio 2026, causa C-199/24, nasce da una controversia tra una persona indicata con le iniziali ND e la società Legal Newsdesk Sweden AB, già Garrapatica AB, gestore della banca dati Lexbase.
Lexbase consentiva di effettuare ricerche su persone e imprese coinvolte in procedimenti penali dinanzi ai giudici svedesi. La banca dati conteneva, quindi, informazioni personali ricavate da decisioni giudiziarie. ND era stato condannato nel 2011; la relativa sentenza era rimasta accessibile nella banca dati fino al febbraio 2024. A fronte della richiesta di cancellazione, i dati non erano stati eliminati immediatamente, ma solo successivamente, in applicazione della politica interna di conservazione del gestore.
L’interessato aveva quindi chiesto al giudice svedese il risarcimento del danno per violazione del GDPR. La società si era difesa invocando la tutela costituzionale svedese della libertà di espressione, in forza della quale il GDPR non sarebbe stato applicabile e l’interessato avrebbe potuto ricorrere soltanto agli strumenti previsti in materia di diffamazione.
Il nodo era evidente: la semplice disponibilità online di sentenze penali, accessibili a chiunque dietro pagamento, può essere qualificata come trattamento effettuato a “scopi giornalistici” e beneficiare delle deroghe previste dall’articolo 85 GDPR?
La risposta della Corte: tre principi distinti
1. Gli Stati non possono creare deroghe generali oltre l’articolo 85, paragrafo 2
L’articolo 85, paragrafo 1, impone agli Stati membri di conciliare la protezione dei dati personali con la libertà di espressione e di informazione. Il paragrafo 2 consente però esenzioni o deroghe a specifici capi del GDPR soltanto per trattamenti effettuati a scopi giornalistici oppure di espressione accademica, artistica o letteraria, quando ciò sia necessario per realizzare tale bilanciamento.
Secondo la Corte, il primo paragrafo non può essere utilizzato come una clausola generale per sottrarre al GDPR trattamenti che perseguano finalità differenti. Le deroghe sono eccezioni e, proprio perché incidono sulla tutela di un diritto fondamentale, devono restare nei confini individuati dal legislatore europeo.
2. I rimedi previsti dal GDPR non possono essere svuotati
La seconda conclusione riguarda la tutela dell’interessato. Il capo VIII del GDPR riconosce, tra l’altro, il diritto di proporre reclamo all’autorità di controllo, il diritto a un ricorso giurisdizionale effettivo e il diritto al risarcimento del danno. Questo capo non figura tra quelli rispetto ai quali l’articolo 85, paragrafo 2, consente deroghe.
Ne consegue che uno Stato membro non può ridurre la tutela della persona alla sola azione penale o civile per diffamazione. Privacy e reputazione sono piani che possono intersecarsi, ma non coincidono. Un’informazione può essere vera e, quindi, non diffamatoria, e tuttavia essere trattata in violazione delle regole sulla protezione dei dati personali.
3. La semplice pubblicazione di sentenze non è, di per sé, giornalismo
Il passaggio più rilevante è quello dedicato alla nozione di “scopi giornalistici”. La Corte conferma che tale nozione deve essere interpretata in senso ampio: non è riservata alla carta stampata, non dipende dal mezzo utilizzato e non è esclusa né dalla pubblicazione su Internet né dall’accesso a pagamento. Neppure la natura penale dei dati impedisce, in astratto, che il trattamento sia giornalistico.
Tuttavia, interpretazione ampia non significa applicazione indiscriminata. Non ogni attività di diffusione di informazioni può essere automaticamente qualificata come giornalismo. Occorre considerare ciò che distingue l’espressione giornalistica dalle altre forme di messa a disposizione dei dati.
I criteri che qualificano la finalità giornalistica
Dalla motivazione della sentenza emergono quattro elementi tra loro collegati:
- lo scopo di comunicare al pubblico informazioni, opinioni o idee;
- un lavoro di redazione o adattamento oppure, quanto meno, l’inserimento dei contenuti in una linea editoriale riconoscibile;
- la verifica delle affermazioni fattuali, affinché le informazioni diffuse risultino sufficientemente affidabili;
- il rispetto delle regole etiche e deontologiche proprie dell’attività giornalistica.
La Corte aggiunge un aspetto metodologicamente importante: la finalità giornalistica non riguarda soltanto il momento finale della pubblicazione. Può estendersi anche ai trattamenti preparatori necessari, compresi la raccolta, la selezione e la gerarchizzazione delle informazioni, persino quando parte del materiale raccolto non venga poi utilizzato. Ciò che conta è il nesso effettivo con un progetto informativo e con una responsabilità editoriale.
Nel caso Lexbase, invece, chiunque poteva accedere alle sentenze di condanna pagando il servizio. Dagli atti non emergevano un’attività redazionale, una selezione editoriale o l’assoggettamento del gestore a regole deontologiche giornalistiche. La Corte ha quindi ritenuto che una simile attività non potesse essere qualificata come giornalistica, salvo la verifica definitiva spettante al giudice nazionale.
La qualificazione dipende dalla sostanza dell’attività svolta, non dalla semplice denominazione attribuita al servizio.
Un documento pubblico non è un dato “libero” da ogni regola
Uno dei possibili equivoci riguarda la natura pubblica della sentenza. La pubblicità del provvedimento risponde a esigenze essenziali: controllo democratico sull’amministrazione della giustizia, conoscibilità delle decisioni, sviluppo dell’interpretazione giuridica e diritto di cronaca. Tuttavia, la provenienza da una fonte pubblica non elimina automaticamente la disciplina applicabile al successivo trattamento dei dati personali.
La digitalizzazione modifica la portata concreta della diffusione. Consultare una sentenza presso una cancelleria, leggerla in una rivista giuridica, trovarla in un archivio editoriale oppure ricercare il nome di una persona in una banca dati aggregata sono attività tecnicamente e socialmente differenti. La disponibilità online, l’indicizzazione nominativa, la possibilità di interrogare migliaia di provvedimenti e la persistenza temporale trasformano il documento in un’infrastruttura informativa capace di ricostruire profili individuali.
È precisamente questo passaggio – dal singolo documento alla banca dati interrogabile – a rendere centrale la finalità del trattamento, le modalità di accesso, il numero potenziale degli utenti e le garanzie predisposte.
Cosa cambia per l’Italia
La decisione riguarda una controversia svedese e non può essere trasferita meccanicamente a qualunque sito italiano che pubblichi sentenze. Il nostro ordinamento presenta regole proprie, che devono però essere lette in conformità al GDPR e all’interpretazione fornita dalla Corte di giustizia.
Gli articoli 136 e seguenti del Codice privacy disciplinano i trattamenti per finalità giornalistiche e altre manifestazioni del pensiero. L’articolo 137 consente, in tale ambito, il trattamento dei dati di cui agli articoli 9 e 10 GDPR anche senza il consenso dell’interessato, purché siano rispettate le regole deontologiche. Queste ultime estendono il proprio ambito non soltanto ai giornalisti iscritti, ma anche a chiunque eserciti, anche occasionalmente, attività pubblicistica; impongono criteri di essenzialità dell’informazione, dignità della persona e corretta rappresentazione dei fatti.
Per la cronaca giudiziaria, l’articolo 12 delle regole deontologiche prevede una disciplina specifica per i dati relativi a procedimenti penali. Ciò non equivale, però, a una licenza generale di pubblicazione. Restano determinanti l’interesse pubblico, l’essenzialità dell’informazione, la contestualizzazione, la correttezza e la tutela dei soggetti vulnerabili o estranei ai fatti.
Diversa è la disciplina della riproduzione dei provvedimenti per finalità di informazione giuridica, regolata in particolare dall’articolo 52 del Codice privacy e dalle linee guida del Garante del 2 dicembre 2010. In quel contesto assumono rilievo l’eventuale annotazione di anonimizzazione, i divieti previsti direttamente dalla legge per determinate categorie di soggetti e l’obbligo di omettere i dati identificativi nei casi stabiliti.
La sentenza C-199/24 suggerisce quindi di non confondere tre piani:
- la pubblicità legale o istituzionale dei provvedimenti giudiziari;
- la riproduzione per finalità di informazione giuridica;
- il trattamento a scopi giornalistici, che presuppone un’attività informativa ed editoriale effettiva.
Quando una piattaforma privata organizza le sentenze attorno ai nominativi, abilita ricerche personali e offre accesso seriale ai dati di condanna, la qualificazione non può dipendere dall’etichetta che il gestore attribuisce al servizio. Occorre verificare la sostanza dell’attività. Se manca il lavoro editoriale indicato dalla Corte, la deroga giornalistica non può essere utilizzata come schermo per sottrarre il trattamento alle garanzie ordinarie del GDPR.
La prospettiva criminalistica e forense
Dal punto di vista criminalistico, la decisione conferma un principio più generale: il dato giudiziario possiede una doppia natura. È contenuto di un atto pubblico, ma è anche informazione personale ad alta capacità lesiva, soprattutto quando viene estratta dal suo contesto processuale, aggregata e resa ricercabile.
Una sentenza non contiene soltanto il nome del condannato. Può includere informazioni su vittime, testimoni, familiari, condizioni sanitarie, relazioni, luoghi, comunicazioni e condotte. L’inserimento del provvedimento in una banca dati nominativa può amplificare la conoscibilità di elementi marginali rispetto alla ratio decidendi e produrre effetti che vanno oltre la fisiologica trasparenza della giustizia.
Per questo la qualità del trattamento non può essere valutata soltanto in termini di autenticità del documento. Un file può essere integro, genuino e provenire da una fonte ufficiale, ma il suo successivo impiego può risultare eccedente, sproporzionato o privo di una base giuridica adeguata. Integrità della fonte e liceità dell’uso sono verifiche differenti.
Quali tutele rimangono all’interessato
La Corte esclude che l’interessato possa essere costretto a ricondurre ogni doglianza alla diffamazione. Se ritiene che il trattamento violi il GDPR, devono restare accessibili i rimedi previsti dal regolamento: il reclamo all’autorità di controllo, il ricorso giurisdizionale effettivo e, quando ne ricorrono i presupposti, la richiesta di risarcimento del danno materiale o immateriale.
Ciò non significa che ogni richiesta di cancellazione debba essere accolta. Il diritto all’oblio non è assoluto e richiede un bilanciamento con la libertà di informazione, l’interesse pubblico attuale, il ruolo dell’interessato, la gravità e l’attualità dei fatti, la funzione dell’archivio e le modalità con cui l’informazione è resa reperibile. La pronuncia non offre soluzioni automatiche; impedisce, però, che tali verifiche siano escluse a monte qualificando come giornalistica qualunque banca dati di sentenze.
Conclusioni
La sentenza Legal Newsdesk Sweden non contrappone privacy e libertà di informazione. Al contrario, chiede che entrambe siano prese sul serio. La libertà giornalistica merita una tutela ampia proprio perché svolge una funzione essenziale in una società democratica; ma questa funzione non può essere invocata da chi si limita a trasformare documenti giudiziari in un archivio nominativo accessibile a pagamento, senza selezione, verifica, contestualizzazione e responsabilità editoriale.
La distinzione decisiva non è quindi tra carta e Internet, né tra accesso gratuito e accesso a pagamento. È tra informare e semplicemente esporre dati. Nel primo caso vi è un’attività che seleziona, verifica e assume la responsabilità di ciò che comunica. Nel secondo vi è un’infrastruttura che rende il passato giudiziario di una persona immediatamente interrogabile. Confondere i due piani significherebbe trasformare un’eccezione necessaria alla libertà di stampa in una deroga generalizzata alla protezione dei dati.
-
Riferimenti essenziali
- Corte di giustizia UE, 9 luglio 2026, C-199/24, Legal Newsdesk Sweden, ECLI:EU:C:2026:564
- Regolamento (UE) 2016/679 – GDPR
- Codice in materia di protezione dei dati personali, testo coordinato
- Regole deontologiche relative al trattamento di dati personali nell’esercizio dell’attività giornalistica
- Garante privacy, Linee guida sulla riproduzione dei provvedimenti giurisdizionali per finalità di informazione giuridica
- Commissione europea, Tipi di atti dell’Unione europea
✒️ Nota sull’autore
Domenico Moretta, laureato in Diritto della Società Digitale, è criminalista forense e consulente tecnico specializzato in digital forensics, audio forense e trascrizioni giuridiche. Autore di volumi divulgativi e professionali, affianca all’attività peritale un costante percorso di approfondimento nelle discipline giuridiche e nelle tecnologie applicate alla prova digitale.
Con il progetto www.acquisizioneprovedigitali.it promuove una cultura integrata tra scienze forensi, innovazione tecnologica e tutela dei diritti nell’ambiente digitale.
Vuoi rimanere aggiornato sulle ultime tendenze e tecnologie nel campo della digital forensics ?
Iscriviti alla nostra newsletter e ricevi informazioni esclusive, aggiornamenti sui nostri servizi e contenuti utili per il tuo lavoro.
Non perdere l’opportunità di essere sempre al passo con le ultime novità nel settore. Iscriviti ora e non perdere neanche una notizia!
*Nota di trasparenza*: parte di questo contenuto è stato redatto con il supporto di strumenti di Intelligenza Artificiale, secondo quanto previsto dal Regolamento UE 2022/2065 (AI Act). Il contenuto è stato supervisionato e approvato da un professionista forense.
