Annunci online e privacy: il gestore deve verificare i dati prima della pubblicazione

Il Garante Privacy - con il provvedimento n. 169 del 12 marzo 2026 - ha chiarito che il gestore di una piattaforma di annunci online è direttamente responsabile della verifica preventiva della liceità dei dati pubblicati dagli utenti, anche quando questi riguardino terzi.

In particolare, la decisione afferma un principio innovativo: non è sufficiente predisporre controlli generici o successivi, ma occorre adottare misure tecniche e organizzative idonee a verificare, prima della pubblicazione, che chi inserisce un contatto sia effettivamente titolare del dato o legittimato dal terzo interessato.

Il dato personale, inoltre, può assumere natura “sensibile” non per sua intrinseca qualità, ma per il contesto in cui è collocato. Ne deriva che la piattaforma è chiamata a un controllo sostanziale e non meramente formale, dovendo prevenire usi distorti che incidano sulla sfera personale degli interessati.

La vicenda prende le mosse dalla segnalazione di una persona che, improvvisamente, iniziava a ricevere telefonate indesiderate da sconosciuti. Solo successivamente emergeva che il suo numero era stato inserito, da ignoti, all’interno di annunci pubblicati su un noto portale, collocati in categorie particolarmente delicate e accompagnati da contenuti espliciti.
La rimozione avveniva soltanto dopo ripetute richieste e una diffida formale. A fronte dell’accaduto, veniva presentato reclamo, evidenziando come chiunque potesse inserire dati altrui senza alcuna verifica preventiva. L’istruttoria metteva in luce che gli annunci erano stati caricati tramite account creati con email temporanee, non riconducibili a soggetti identificabili, e che i controlli predisposti dalla piattaforma risultavano incapaci di impedire tali abusi.

Il cuore innovativo della decisione risiede nell’affermazione di un obbligo di verifica attiva in capo al gestore della piattaforma.
Non è più sufficiente, secondo l’Autorità, limitarsi a regole d’uso o a dichiarazioni di responsabilità degli utenti: il titolare deve strutturare il sistema in modo da impedire, in radice, l’inserimento illecito di dati. La logica è quella di una responsabilità proattiva, che impone di anticipare il rischio, non di reagire a posteriori. In tale prospettiva, risultano inadeguati sia i controlli automatici basati su parole chiave, sia le verifiche manuali concentrate sul contenuto dell’annuncio, ove non estese alla titolarità del contatto inserito.

Di particolare rilievo è poi la qualificazione del dato personale. Il numero di telefono, di per sé neutro, diventa altamente sensibile quando associato a contenuti idonei a rivelare aspetti intimi della persona. Il contesto, dunque, trasforma la natura del dato e innalza il livello di tutela richiesto. Questa impostazione amplia significativamente l’area dei dati meritevoli di protezione rafforzata, imponendo agli operatori digitali una valutazione qualitativa e non meramente formale delle informazioni trattate.

La decisione segna anche un punto fermo sul tema della base giuridica. In assenza di un consenso effettivo dell’interessato o di altra valida giustificazione, il trattamento deve ritenersi illecito.
Ma, soprattutto, viene chiarito che la verifica di tale base non può essere demandata esclusivamente all’utente: è il titolare che deve accertarne l’esistenza, attraverso strumenti adeguati e verificabili. La mera possibilità tecnica di inserire dati altrui costituisce, di per sé, un indice di inadeguatezza del sistema. Ne emerge un modello di piattaforma responsabile, chiamata a coniugare libertà di utilizzo e tutela dei diritti fondamentali. L’innovazione sta nell’aver trasformato un obbligo tradizionalmente percepito come formale in un dovere sostanziale di controllo.

Il gestore diventa garante effettivo della correttezza del trattamento, dovendo prevenire non solo violazioni evidenti, ma anche usi distorti che possano ledere la dignità e la reputazione delle persone. Una svolta che incide profondamente sull’architettura dei servizi digitali e sul modo stesso di concepire la responsabilità nel trattamento dei dati personali.

A ben vedere, l’approdo cui giunge l’Autorità segna il superamento definitivo di una visione passiva dell’intermediario digitale.

La piattaforma non è più un mero spazio neutro, ma un soggetto chiamato a governare i flussi informativi che essa stessa rende possibili. Ciò implica un ripensamento delle logiche di progettazione dei servizi, che dovranno integrare sin dall’origine strumenti di verifica dell’identità e della legittimazione all’uso dei dati. Non si tratta di introdurre controlli invasivi, ma di costruire meccanismi proporzionati al rischio, capaci di intercettare anomalie evidenti prima che producano effetti lesivi.

La pronuncia, inoltre, valorizza il nesso tra tecnologia e responsabilità, imponendo una coerenza tra le potenzialità del mezzo e il livello di tutela offerto. Più la piattaforma consente una diffusione ampia e immediata delle informazioni, maggiore deve essere l’attenzione nel prevenire abusi. In questa prospettiva, l’innovazione non è più solo fattore di sviluppo, ma anche parametro di responsabilità. Si delinea così un equilibrio nuovo, in cui la libertà di iniziativa economica digitale trova un limite nella necessità di garantire un controllo effettivo sui dati trattati. L’intervento del Garante, pur muovendo da un caso concreto, assume dunque una portata sistemica, destinata a incidere sull’intero ecosistema delle piattaforme online, chiamate a evolvere da semplici contenitori di contenuti a presidi attivi di legalità e tutela della persona.