Con la sentenza del 14 luglio 2026 (causa C-474/24) la Corte di Giustizia UE chiarisce che una norma nazionale può imporre la pubblicazione di dati personali per una finalità di interesse pubblico, ma la previsione di legge non basta: chi pubblica resta obbligato a valutare il singolo caso, presidiando proporzionalità e durata della diffusione. Riguarda ogni ente che pubblica dati sul proprio sito «perché lo prevede la norma».

La Corte di Giustizia UE, con la sentenza del 14 luglio 2026 nella causa C-474/24, chiarisce che una norma nazionale può imporre la pubblicazione di dati personali per una finalità di interesse pubblico — ma la previsione di legge non basta. Chi pubblica resta obbligato a valutare il singolo caso. È una precisazione che riguarda ogni ente che diffonde dati sul proprio sito perché «lo prevede la norma».

Il punto che interessa chi gestisce dati nella PA e negli enti

Ogni amministrazione, federazione o ente che svolge funzioni pubbliche si trova prima o poi davanti alla stessa convinzione operativa: se una norma mi impone di pubblicare un dato, la pubblicazione è legittima e la mia responsabilità si esaurisce lì. La Corte di Giustizia smonta questa lettura. L’obbligo legale è la base giuridica del trattamento, non la fine del ragionamento. Anche quando la legge prescrive la pubblicazione, chi tratta i dati deve poter verificare — prima di pubblicare — che quella specifica diffusione, in quel caso concreto, rispetti il principio di proporzionalità.

Il caso nasce nel contesto antidoping austriaco, ma il principio che ne esce è di portata generale e tocca il cuore della data governance pubblica: il rapporto tra trasparenza imposta per legge e limiti del GDPR.

Cosa aveva deciso il legislatore, e cosa ha stabilito la Corte

La normativa austriaca imponeva all’autorità nazionale antidoping di pubblicare online nome dell’atleta, disciplina, violazione, durata e motivi della squalifica, con eccezioni predefinite per atleti amatoriali, soggetti vulnerabili e informatori. Quattro atleti sanzionati avevano chiesto la cancellazione dei propri dati, contestando che la diffusione fosse necessaria e proporzionata.

La Corte tiene insieme due affermazioni che è utile leggere separatamente.

La prima: l’articolo 5, paragrafo 1, lettere a) e c), e l’articolo 6, paragrafo 3, del GDPR non ostano a una normativa nazionale che impone la pubblicazione dei dati degli atleti sanzionati. Una legge che prescrive la diffusione per una finalità di interesse pubblico rilevante — qui la lotta al doping — non è in sé incompatibile con il GDPR.

La seconda, che è il vero contenuto operativo della decisione: quella stessa compatibilità vale a condizione che la normativa consenta ai titolari del trattamento di procedere, prima della pubblicazione, a un bilanciamento individuale degli interessi in gioco. La previsione astratta del legislatore — anche quando fissa già delle eccezioni — non sostituisce la valutazione del caso concreto. Qualora le situazioni predefinite dalla normativa non consentano da sole di garantire la proporzionalità in ciascun caso individuale, i titolari devono tenere conto delle circostanze del caso di specie e procedere a un bilanciamento individuale prima di pubblicare.

Detto in termini di governance: il legislatore fissa la cornice, ma il titolare resta responsabile della decisione puntuale. Non può nascondersi dietro la norma.

I due criteri concreti che la Corte indica

La sentenza non si ferma al principio. Indica cosa il titolare deve pesare, e questo è ciò che rende la decisione utilizzabile in un processo interno.

Criterio	Cosa impone al titolare
Rilevanza soggettiva	Pesare la gravità della violazione e la posizione dell’interessato (notorietà nazionale/internazionale). L’interesse pubblico alla diffusione non è identico per tutti i soggetti e va misurato.
Durata della pubblicazione	Più la pubblicazione è lunga, più elevati i requisiti di proporzionalità. Una pubblicazione che ecceda il periodo di applicazione della sanzione non sarebbe proporzionata: la proporzionalità ha una dimensione temporale, da presidiare con una logica di conservazione.

C’è poi un terzo elemento tecnico che vale la pena isolare, perché riguarda le categorie particolari. La Corte chiarisce che l’informazione sulla violazione antidoping e sulla squalifica, in linea di principio, non costituisce un dato relativo alla salute ai sensi dell’articolo 9 — ma lo diventa quando la pubblicazione menziona il nome o la categoria della sostanza vietata e questa, unita ad altre informazioni, è idonea a rivelare anche indirettamente informazioni sullo stato di salute della persona. Il principio generalizzabile: un dato apparentemente «neutro» può ricadere nel regime rafforzato dell’art. 9 in funzione di ciò che, combinato con altri, lascia dedurre. La qualificazione del dato dipende dal contesto della diffusione, non solo dalla sua etichetta iniziale.

Perché riguarda direttamente enti, PA e organismi con funzioni pubbliche

Il ragionamento della Corte è costruito su una base giuridica — il trattamento necessario per adempiere un obbligo legale e per l’esecuzione di un compito di interesse pubblico — che è esattamente quella su cui poggiano innumerevoli pubblicazioni obbligatorie nel settore pubblico italiano: albi, graduatorie, provvedimenti, elenchi di beneficiari, dati di trasparenza amministrativa.

La lezione trasferibile è una sola, e vale la pena affermarla senza attenuazioni: la previsione normativa che impone la pubblicazione non esaurisce l’obbligo di conformità. Un ente che pubblica un elenco perché «la norma lo prevede», senza un processo che consenta di valutare la proporzionalità del singolo caso e di presidiare la durata della diffusione, sta applicando la lettera della legge senza governare il trattamento. È la distanza tra adempiere e governare: la norma dà la base, ma la difendibilità della scelta si costruisce sul processo che la accompagna.

Nella pratica, questo significa che il registro delle attività di trattamento e le procedure interne dovrebbero prevedere, per le pubblicazioni obbligatorie: un criterio documentato di valutazione dei casi che escono dallo standard, un termine massimo di permanenza online agganciato alla finalità, e la tracciabilità della decisione di pubblicare. Non per moltiplicare la carta, ma perché è ciò che un’autorità di controllo — o un interessato che agisce in giudizio — chiederà di ricostruire.

La conseguenza per chi progetta i processi di pubblicazione

Un ente che pubblica dati personali in forza di un obbligo di legge ha, dopo questa sentenza, un margine di discrezionalità che non può delegare interamente al legislatore. La proporzionalità del singolo atto di diffusione, e il suo limite temporale, restano una responsabilità del titolare. Chi struttura oggi un processo di pubblicazione senza questi due presidi — valutazione del caso e durata definita — firma una diffusione che regge finché nessuno la mette alla prova.

Domande frequenti

Se una legge mi obbliga a pubblicare un dato, devo comunque valutare la proporzionalità?

Sì. Secondo la sentenza C-474/24, l’obbligo di legge è la base giuridica del trattamento, ma non sostituisce la valutazione del caso concreto. Il titolare deve poter procedere, prima della pubblicazione, a un bilanciamento individuale degli interessi.

Per quanto tempo posso tenere online un dato pubblicato per obbligo di legge?

Per un tempo proporzionato alla finalità. La Corte è netta: una pubblicazione che ecceda il periodo di applicazione della sanzione (o, per trasposizione, della finalità che la giustifica) non è proporzionata. Serve un termine massimo di permanenza online, non l’inerzia del «una volta pubblicato, resta».

Un dato «neutro» può diventare un dato particolare dell’art. 9?

Sì. La qualificazione dipende dal contesto della diffusione: un dato può ricadere nel regime rafforzato dell’art. 9 quando, combinato con altre informazioni pubblicate, lascia dedurre anche indirettamente lo stato di salute della persona.

Cosa dovrebbe prevedere una procedura interna di pubblicazione obbligatoria?

Tre presidi: un criterio documentato per valutare i casi fuori standard, un termine massimo di permanenza online agganciato alla finalità, e la tracciabilità della decisione di pubblicare — elementi che un’autorità di controllo o un interessato in giudizio chiederà di ricostruire.

Hai bisogno di supporto sulla revisione dei processi di pubblicazione obbligatoria di dati personali? I&P Partners affianca aziende ed enti pubblici nella conformità privacy, nella governance del rischio e nell’adeguamento normativo. Richiedi un primo confronto gratuito e senza impegno tramite il form contatti, oppure scrivici su WhatsApp.