L'Italia considera una fotografia online come dato personale soggetto a rigorose tutele legali, offrendo agli individui una via amministrativa diretta per contestare pubblicazioni non autorizzate. Il Garante per la protezione dei dati personali detiene poteri normativi per vietare o limitare operazioni di trattamento quando natura, meccanismi o effetti della pubblicazione minacciano i diritti individuali. Chi intenda ottenere la cancellazione di un'immagine deve seguire una sequenza procedurale definita: richiesta diretta iniziale all'editore, seguita da escalation amministrativa formale a Roma se il titolare del trattamento non agisce.
Il sistema pone l'onere della legittimità su chi carica l'immagine. Per operatori commerciali, piattaforme e privati, il Codice della privacy italiano stabilisce il consenso come standard vincolante, temperato solo da ristrette eccezioni previste per legge.
Consenso espresso e parametri legali fondamentali
Secondo il Codice della privacy italiano, il trattamento di dati personali da parte di soggetti privati o enti pubblici a scopo di lucro è lecito solo previo consenso espresso dell'interessato. Un'immagine contenente un volto identificabile costituisce dato personale. Caricare, distribuire o ospitare quell'immagine online costituisce operazione di trattamento.
La soglia per un consenso valido nella normativa italiana è deliberata e formale. Il Codice stabilisce che il consenso ha efficacia legale solo quando ricorrono cumulativamente quattro criteri:
- È rilasciato liberamente dalla persona ritratta.
- Si applica specificamente a un'operazione di trattamento chiaramente identificata, non a un uso vago o generico.
- È documentato per iscritto.
- L'interessato ha ricevuto preventiva informativa completa sulle modalità di utilizzo dei dati.
L'assenso tacito non soddisfa la norma. Un soggetto che permette di essere fotografato a un evento privato non ha automaticamente consentito alla diffusione su siti web o social media. Quando un editore online non può produrre documentazione scritta che attesti consenso specifico e informato per il caricamento digitale, il trattamento manca del presupposto legale. In questi casi, il ritratto conserva immediato diritto a chiederne la rimozione.
Limiti di interesse pubblico ed eccezioni giornalistiche
Il consenso non è l'unico fondamento legale in ogni scenario, ma le strade alternative restano anguste. Il Codice della privacy italiano definisce parametri specifici per i casi in cui la pubblicazione avviene senza approvazione preventiva.
Per gli enti pubblici che trattano categorie sensibili di dati personali, il trattamento senza consenso è ammesso solo se espressamente autorizzato da disposizione di legge. La norma abilitante deve definire esplicitamente tre elementi distinti: le precise categorie di dati trattabili, le specifiche operazioni consentite e l'interesse pubblico sostanziale perseguito.
L'attività giornalistica opera entro propri limiti legali. Il Codice affronta il confine tra informazione di pubblico interesse e diffusione illecita di immagini. Ai giornalisti è espressamente vietato riprendere o pubblicare foto di persone in custodia senza esplicito consenso. Il divieto cede solo quando la pubblicazione serve un rilevante interesse pubblico, o quando comprovate esigenze giudiziarie o di polizia ne giustifichino la divulgazione.
Al di fuori di questi chiari confini normativi, generiche rivendicazioni di interesse generale non prevalgono sull'assenza di consenso documentato. Quando un sito privato o commerciale mostra una foto non autorizzata di un individuo non soggetto a specifiche deroghe per interesse pubblico, il titolare viola il Codice.
Richieste dirette al titolare e scadenze legali
L'iter formale per ottenere la rimozione non parte dagli uffici del Garante. Il ritratto deve prima inoltrare richiesta di esercizio dei diritti direttamente al titolare del trattamento responsabile del sito, piattaforma o account che ha pubblicato il materiale.
Il quadro ufficiale del Garante stabilisce rigidi tempi operativi per la gestione delle richieste:
- Termine per la risposta iniziale: Il titolare deve rispondere senza ingiustificato ritardo, entro 1 mese dal ricevimento.
- Proroga: Il titolare può estendere il termine iniziale fino a 2 mesi quando strettamente necessario, per complessità e volume delle richieste.
- Comunicazione obbligatoria: Se usa la proroga, deve notificarlo formalmente entro il primo mese, motivando il ritardo.
In questa fase, l'interessato richiede cancellazione o limitazione dell'immagine, citando l'assenza di consenso valido, scritto e informato. Se il titolare ignora la richiesta, rifiuta la rimozione senza dimostrare eccezioni applicabili, o non rispetta il termine di 1 mese, si apre la via amministrativa verso il Garante.
Presentazione di reclami formali al Garante
Se il dialogo diretto fallisce, la questione passa al Garante per la protezione dei dati personali. L'Autorità italiana mantiene una categoria amministrativa dedicata per queste controversie; il registro ufficiale indicizza gli interventi regulatori sotto "Foto e filmati", trattando i media visivi come settore consolidato di enforcement.
Il Garante dispone di ampi poteri correttivi. Può vietare o limitare formalmente operazioni di trattamento quando meccanismi o effetti della pubblicazione ledono l'interessato. Una limitazione ufficiale può imporre la rimozione immediata dai servizi digitali italiani.
Il reclamo formale va presentato attraverso il canale del Responsabile della protezione dei dati dell'Autorità. Il Garante riceve le segnalazioni presso la sede centrale:
Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, Italia.
Le istanze vanno inviate digitalmente al responsabile della protezione dei dati del Garante, il cui recapito è indicato nella pagina dei reclami dell'Autorità.
Per chiarimenti preliminari sulle procedure, l'Autorità gestisce un numero pubblico: +39 06.69677.2917. Servizio attivo lunedì-venerdì, solo dalle 10.00 alle 12.30.
La segnalazione deve includere: ubicazione dell'immagine, prova di identificazione del reclamante, assenza di consenso e documentazione della richiesta iniziale al titolare.
Le istanze seguono il framework formale per violazioni dei dati personali. Una volta presentate, la pratica entra nel registro amministrativo del Garante per la revisione formale, sottoponendo la pubblicazione illecita a scrutinio regolatorio diretto a Roma.