Bova, Corona e i limiti della notorietà: cosa dice il Garante sulla diffusione di conversazioni private

Provvedimento del Garante

Il 3 settembre 2026 il Garante per la protezione dei dati personali ha reso noto un provvedimento, adottato il 3 luglio 2026 (n. 492), con cui ha dichiarato illecita la diffusione, da parte di Fabrizio Corona, di un file audio tratto da una conversazione privata intercorsa tra l’attore Raoul Bova e altre persone. I contenuti, di natura intima e affettiva, erano stati pubblicati su YouTube nel format “Falsissimo” e ripresi su diversi social network, per poi diffondersi rapidamente accompagnati da commenti derisori.

Il caso ha attirato l’attenzione delle cronache per i protagonisti coinvolti, ma il principio che il Garante ha riaffermato riguarda in realtà chiunque tratti dati personali altrui, dentro e fuori il mondo dell’informazione. L’Autorità ha chiarito che la notorietà di una persona non legittima automaticamente la divulgazione di ciò che la riguarda, e che pubblicare notizie sulla vita privata di qualcuno resta lecito solo quando esiste un effettivo interesse pubblico alla conoscenza del fatto e la notizia risulta essenziale rispetto a quell’interesse. Nel caso esaminato questi presupposti mancavano del tutto, dato che i contenuti diffusi non riguardavano fatti di rilevanza pubblica, bensì aspetti della sfera privata e affettiva del ricorrente, resi pubblici, come rileva lo stesso Garante, a fini di spettacolarizzazione e alimentazione del gossip.

Per questo il Garante ha dichiarato l’illiceità del trattamento posto in essere da Corona, ritenendolo in contrasto con i principi di liceità, correttezza e minimizzazione che governano ogni trattamento di dati personali (art. 5, par. 1, lett. a) e c), del GDPR), e ha ordinato il pagamento di una sanzione amministrativa pecuniaria di 4.950 euro ai sensi degli artt. 58, par. 2, lett. i), e 83 del Regolamento. Si tratta di un importo ridotto rispetto alla gravità della violazione riscontrata: dagli accertamenti svolti, anche con il supporto del Nucleo Speciale Privacy della Guardia di Finanza, non sono risultate dichiarazioni dei redditi a carico del sanzionato, che con riferimento al 2025 risulta aver percepito solo importi limitati, tra cui una quota di trattamento di fine rapporto e alcuni contributi previdenziali.

La vicenda offre a chiunque tratti dati altrui, non solo alle testate giornalistiche, alcuni criteri operativi utili, riassunti nella tabella qui sotto.

 

Criterio applicato dal Garante	Cosa richiede	Esito nel caso Bova-Corona
Interesse pubblico effettivo	La notizia deve riguardare fatti di reale rilevanza collettiva, non semplice curiosità del pubblico	Assente: i contenuti riguardavano la sfera intima e affettiva del ricorrente
Essenzialità dell’informazione	La divulgazione deve essere necessaria e proporzionata rispetto all’interesse pubblico invocato	Non ricorrente: nessun collegamento con fatti di interesse generale
Liceità, correttezza, minimizzazione (art. 5 GDPR)	Il trattamento deve limitarsi a quanto necessario e svolgersi in modo corretto verso l’interessato	Violati: diffusione integrale del contenuto a fini di spettacolarizzazione

Fonte: Garante per la protezione dei dati personali, provvedimento n. 492 del 3 luglio 2026 (doc. web n. 10287188).

 

Il primo criterio pratico riguarda dunque la differenza tra curiosità del pubblico e interesse pubblico in senso giuridico, poiché il fatto che una notizia susciti attenzione o generi traffico non equivale affatto a un interesse pubblico rilevante ai fini della liceità della diffusione. Il secondo riguarda l’ambiente digitale, che il Garante individua come fattore che amplifica la lesione della riservatezza rispetto ai mezzi di comunicazione tradizionali, aggravando quindi le conseguenze di una diffusione illecita quando questa avviene su piattaforme social o video a larga diffusione. Il terzo riguarda l’ambito di applicazione del principio, che non si limita ai casi di gossip riguardanti personaggi noti, ma si estende a qualunque contesto in cui vengano diffuse conversazioni, messaggi o contenuti privati di terzi identificati o identificabili, per esempio in ambito lavorativo, condominiale o associativo.

Per gli enti pubblici e le imprese, questo tipo di provvedimenti resta un utile promemoria anche sul piano interno. Chi gestisce comunicazioni istituzionali, canali social aziendali o rapporti con i media dovrebbe sempre verificare, prima di divulgare contenuti che riguardano persone identificabili, se sussiste un reale interesse pubblico alla loro conoscenza e se la divulgazione è davvero essenziale rispetto a quell’interesse, evitando di affidarsi alla sola popolarità del soggetto coinvolto o all’attenzione mediatica del momento come giustificazione. Vale la pena ricordare, in chiusura, cosa rischia in concreto chi diffonde dati o contenuti privati altrui senza questi presupposti.

 

Conseguenza	In cosa consiste	Riferimento
Sanzione amministrativa pecuniaria	Fino alle soglie previste dall’art. 83 GDPR, calibrata su gravità della violazione e condizioni economiche del responsabile	Art. 83 GDPR
Ordine di cessazione o altre misure correttive	Il Garante può disporre la cessazione del trattamento illecito e altre misure correttive	Art. 58, par. 2, GDPR
Pubblicazione del provvedimento	Il Garante può disporre la pubblicazione del provvedimento sul proprio sito quale sanzione accessoria	Prassi del Garante, come nel caso in esame

Fonte: Regolamento (UE) 2016/679 (GDPR), artt. 58 e 83; Garante per la protezione dei dati personali, provvedimento n. 492 del 3 luglio 2026.

 

Firma: Enrico Capirone – Presidente iSimply srl, DPO

Fonte ufficiale: Garante per la protezione dei dati personali, comunicato stampa del 3 settembre 2026 e provvedimento n. 492 del 3 luglio 2026 (doc. web n. 10287714 e n. 10287188) – https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/10287714

 

Nota volontaria di trasparenza sull’uso dell’intelligenza artificiale. Questo contenuto è stato predisposto con il supporto di strumenti di IA generativa ed è stato sottoposto a revisione umana sostanziale, verifica delle fonti ufficiali e controllo editoriale. iSimply srl detiene la responsabilità editoriale della pubblicazione. L’art. 50, par. 4, del Regolamento (UE) 2024/1689 prevede un obbligo di trasparenza per i testi generati o manipolati dall’IA e pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico. Il medesimo paragrafo esclude tale obbligo quando il contenuto generato dall’IA è stato sottoposto a un processo di revisione umana o di controllo editoriale e una persona fisica o giuridica detiene la responsabilità editoriale della pubblicazione. iSimply sceglie comunque di rendere trasparente l’impiego di strumenti di IA nel processo redazionale.