Roberto Burioni ammonito dal Garante: diffusione di dati personali sui social

Burioni ammonito dal Garante Privacy per aver pubblicato sui social informazioni personali riconducibili ad alcuni cittadini che avevano presentato un esposto disciplinare contro di lui. La notizia riguarda il noto virologo, ma leggendo i documenti dell’Autorità emerge una storia più complessa.

Prima delle pubblicazioni su Facebook e X c’era stato un problema con una cartella digitale accessibile attraverso un collegamento non protetto. E prima dell’ammonimento al professore era arrivato un altro provvedimento, questa volta nei confronti del legale che aveva raccolto le adesioni all’iniziativa.

La questione, dunque, non si esaurisce nell’ennesimo scontro tra Roberto Burioni e i suoi contestatori. Il punto è capire dove finisca il diritto di difendersi pubblicamente e dove cominci l’esposizione ingiustificata delle persone. Una distinzione che sui social, dove una discussione può trasformarsi rapidamente in una mobilitazione contro qualcuno, assume un peso particolare.

Prima dei post di Burioni c’era già un problema con i documenti

Per ricostruire la vicenda bisogna tornare al 2024. Centinaia di persone avevano sottoscritto un esposto rivolto all’Ordine dei Medici competente, contestando alcune posizioni pubbliche del professore. La controversia si inseriva nel clima di forte contrapposizione che aveva accompagnato il dibattito sui vaccini e sulle dichiarazioni degli esperti durante gli anni precedenti.

Le adesioni erano accompagnate dalla documentazione necessaria a identificare i firmatari e a conferire mandato al professionista incaricato. Fin qui, una procedura che può rientrare nella normale gestione di un’iniziativa disciplinare.

Il problema nasce dalle modalità di trasmissione di quelle informazioni.

Secondo quanto accertato dal Garante per la protezione dei dati personali, il legale aveva inserito nell’esposto un collegamento a una cartella cloud contenente documenti dei propri assistiti. Quel link non prevedeva restrizioni di accesso adeguate: chiunque ne fosse entrato in possesso avrebbe potuto consultare il materiale condiviso.

Attenzione a un dettaglio: ciò non significa necessariamente che i file fossero indicizzati sui motori di ricerca o immediatamente visibili a ogni utente di Internet. Significa però che la possibilità di accedervi non era circoscritta, attraverso un’apposita autorizzazione, ai soli destinatari legittimati.

Successivamente l’Ordine professionale aveva trasmesso a Burioni l’esposto ricevuto, senza oscurare il collegamento. In questo modo il materiale era diventato accessibile anche al destinatario della contestazione.

Il 18 dicembre 2025 l’Autorità aveva già affrontato questo passaggio con il provvedimento numero 767, ammonendo il professionista che aveva gestito la condivisione dei documenti per la violazione delle disposizioni del GDPR sulla sicurezza e sulla riservatezza dei dati. Sul provvedimento risulta pendente un giudizio di opposizione.

È un precedente importante per capire il resto della storia: le informazioni personali erano state gestite in maniera non conforme alle regole già prima di arrivare sui profili del virologo.

Dal fascicolo disciplinare ai social: il passaggio contestato a Burioni

Il 1° e il 2 luglio 2024, nell’ambito delle proprie repliche all’esposto, Burioni aveva pubblicato contenuti su Facebook e X nei quali comparivano elementi identificativi di alcuni sottoscrittori.

Non soltanto riferimenti generici alla loro partecipazione. Il materiale comprendeva nomi, cognomi e porzioni di documenti di identità, accompagnati da osservazioni critiche del professore nei confronti delle persone menzionate.

È proprio questo il comportamento al centro del nuovo procedimento.

Il fatto che un documento sia stato legittimamente ricevuto da chi deve difendersi non attribuisce automaticamente il diritto di riprodurlo davanti a un pubblico potenzialmente vastissimo. L’accesso a determinate informazioni e la loro successiva diffusione costituiscono infatti operazioni differenti, da valutare in relazione agli scopi perseguiti.

Il Garante ha esaminato il caso dopo una segnalazione e un reclamo presentati nel luglio 2024. L’istruttoria, avviata nel febbraio 2025, ha portato alla contestazione formale delle violazioni nel gennaio 2026.

Con il provvedimento numero 755 del 7 ottobre 2026, l’Autorità ha disposto l’ammonimento nei confronti di Burioni, ritenendo che la pubblicazione avesse oltrepassato i limiti consentiti nell’esercizio della libertà di espressione.

Non si tratta di una multa e nemmeno di una condanna penale. È una misura correttiva prevista dal Regolamento europeo sulla protezione dei dati, adottata dopo l’accertamento delle violazioni contestate.

La difesa del professore: «Ho il diritto di rispondere a chi mi attacca»

La posizione di Burioni non è rimasta fuori dall’istruttoria. Le argomentazioni presentate dai suoi difensori, riportate nel documento ufficiale, offrono un’altra prospettiva sulla controversia.

Il professore ha sostenuto di aver agito per tutelare la propria reputazione scientifica e professionale da un’iniziativa che riteneva diretta a screditarlo. Nella sua ricostruzione, chi presenta un esposto contro una persona pubblicamente conosciuta non può pretendere che il destinatario rinunci a spiegare le proprie ragioni, anche attraverso i canali utilizzati abitualmente per comunicare con il pubblico.

La difesa ha richiamato due principi costituzionali: il diritto di difesa previsto dall’articolo 24 e la libertà di manifestazione del pensiero tutelata dall’articolo 21.

È stata inoltre sottolineata l’adozione di accorgimenti per oscurare parte dei dati contenuti nei documenti pubblicati. Durante l’audizione del 31 marzo 2026, Burioni ha ribadito la convinzione che quelle precauzioni fossero sufficienti a proteggere le persone interessate.

Un altro argomento riguardava la natura dei post. Non essendo un giornalista professionista né un pubblicista, il virologo contestava l’applicabilità delle regole deontologiche previste per il trattamento dei dati nell’ambito dell’attività giornalistica.

Infine, la difesa aveva evidenziato che le informazioni erano già state rese accessibili attraverso il precedente utilizzo del collegamento cloud.

Sono questioni tutt’altro che marginali. Una persona contestata pubblicamente può certamente difendere il proprio operato, confutare le accuse e criticare chi le formula. Il problema giuridico, però, è stabilire se per farlo fosse necessario mostrare anche elementi identificativi di singoli cittadini.

Per il Garante Privacy la critica non giustifica l’esposizione dei firmatari

La risposta dell’Autorità è stata negativa.

Nel caso di Burioni ammonito dal Garante Privacy, la questione decisiva non riguarda la legittimità del dissenso nei confronti dell’esposto, ma l’utilità effettiva della divulgazione dei dati personali per sostenere quella critica.

Il Garante ha ritenuto che l’identificazione di alcuni sottoscrittori non apportasse un contributo informativo necessario alla comprensione dei fatti. La discussione avrebbe potuto concentrarsi sugli argomenti dell’iniziativa disciplinare, sulle contestazioni mosse al professore e sulle ragioni per cui quest’ultimo le considerava infondate.

Mostrare i dati di determinati individui non era indispensabile a raggiungere tale obiettivo.

C’è un altro aspetto significativo: i firmatari, secondo l’Autorità, non ricoprivano una funzione o una posizione pubblica tale da rendere giustificata la loro identificazione nel contesto specifico.

Chi ricorre a uno strumento previsto dall’ordinamento per segnalare la condotta di un professionista non perde, per questo, la tutela della propria sfera personale.

Il diritto di replica protegge la possibilità di contestare un’accusa, non qualsiasi modalità scelta per farlo.

Questa distinzione vale indipendentemente dal giudizio che si voglia esprimere sulla fondatezza dell’esposto originario. L’ammonimento non stabilisce se le contestazioni rivolte a Burioni fossero scientificamente corrette, né decide se la sua attività di divulgazione meritasse quelle critiche.

Affronta un problema diverso: la proporzione tra una reazione pubblica e l’utilizzo di informazioni relative a persone identificabili.

La regola che riguarda tutti, non soltanto i giornalisti

Uno dei passaggi più interessanti della decisione riguarda l’applicazione delle norme sulla libertà di espressione.

La legislazione italiana prevede condizioni particolari per il trattamento dei dati personali quando vengono esercitati il diritto di cronaca, quello di critica e altre forme di manifestazione del pensiero. In determinate circostanze, la pubblicazione può avvenire anche senza il consenso degli interessati.

Questo non significa, però, che la comunicazione pubblica sia sottratta a ogni limite.

Il principio dell’essenzialità dell’informazione impone di valutare quanto un dato personale sia realmente necessario per raccontare o commentare una vicenda di interesse pubblico.

Il Garante ha ritenuto applicabile tale disciplina anche ai contenuti diffusi dal professore, nonostante questi non eserciti professionalmente l’attività giornalistica. Il Codice Privacy, infatti, considera anche le altre manifestazioni del pensiero.

È un chiarimento che interessa chiunque utilizzi i social per denunciare comportamenti, rispondere ad accuse o commentare controversie pubbliche.

Il fatto di non possedere un tesserino professionale non trasforma automaticamente un profilo personale in uno spazio privo di responsabilità.

Un amministratore pubblico che pubblica documenti relativi a un cittadino, un imprenditore che espone i dati di un cliente oppure un personaggio conosciuto che rende identificabili i propri detrattori possono trovarsi davanti allo stesso interrogativo: quelle informazioni erano davvero necessarie?

Non è una questione di censura preventiva. Si tratta di riconoscere che il valore di un’opinione e il diritto di esprimerla non dipendono dalla quantità di informazioni private rese disponibili su chi sostiene una posizione contraria.

Cancellare un post non significa cancellare ciò che è accaduto

Nel corso del procedimento Burioni ha rimosso i contenuti contestati. La collaborazione prestata all’Autorità è stata espressamente considerata tra gli elementi favorevoli nella valutazione complessiva.

Il Garante ha tenuto conto anche dell’assenza di precedenti violazioni pertinenti e delle circostanze che avevano favorito l’accesso iniziale ai documenti, compresa la trasmissione dell’esposto da parte dell’Ordine senza l’oscuramento del collegamento.

Questi elementi hanno contribuito alla scelta dell’ammonimento, senza l’applicazione di una sanzione economica.

La rimozione, tuttavia, non è stata ritenuta sufficiente a neutralizzare integralmente gli effetti delle pubblicazioni.

I dati relativi a tre firmatari erano già rimasti a disposizione dell’ampio pubblico che seguiva i profili del professore. Una volta avvenuta l’esposizione, eliminare il contenuto originario non consente di annullare il periodo durante il quale le informazioni sono state accessibili.

Il ragionamento ha una portata più ampia del singolo episodio. La cancellazione digitale può interrompere una diffusione, ma non garantisce che nessuno abbia visto, conservato o successivamente utilizzato il materiale.

Non significa che in questa vicenda siano stati accertati specifici utilizzi ulteriori dei documenti. Significa che, nella valutazione dell’Autorità, la precedente disponibilità delle informazioni costituisce un effetto da considerare anche dopo la rimozione.

Per un personaggio con un seguito numeroso, la distanza tra pubblicare un contenuto ed esporre qualcuno all’attenzione collettiva può essere particolarmente ridotta.

Due ammonimenti, tre passaggi: il problema è anche chi custodisce i dati

Se si guarda soltanto al nome di Burioni, si rischia di perdere una parte rilevante del caso.

La documentazione ufficiale racconta infatti una successione di passaggi nei quali la protezione delle informazioni personali è diventata progressivamente più problematica.

All’inizio c’è il professionista che utilizza una modalità di condivisione non sufficientemente riservata. Poi interviene l’Ordine, che trasmette al destinatario dell’esposto il materiale senza eliminare il collegamento aperto. Infine arrivano i post pubblici, con la riproduzione di dati che permettono di riconoscere alcuni partecipanti.

Le responsabilità giuridiche non sono automaticamente identiche per tutti. I due ammonimenti adottati dal Garante riguardano infatti trattamenti differenti e violazioni distinte: da una parte la sicurezza nella gestione dei documenti, dall’altra la proporzionalità della loro diffusione nell’esercizio del diritto di critica.

È proprio questa differenza a rendere il caso interessante. Una debolezza nella protezione iniziale non autorizza chi riceve successivamente i dati a farne qualsiasi utilizzo. Allo stesso modo, la loro disponibilità all’interno di un procedimento non equivale a una generale autorizzazione alla pubblicazione.

Per i professionisti e per le organizzazioni che gestiscono esposti, segnalazioni o controversie, la lezione pratica è piuttosto concreta: bisogna controllare chi può accedere agli allegati, quali informazioni siano indispensabili ai destinatari e come impedire che un collegamento digitale venga inoltrato senza protezioni.

La privacy non comincia quando scoppia uno scandalo sui social. Comincia molto prima, nella gestione ordinaria dei fascicoli e degli strumenti informatici.

Il paradosso delle battaglie pubbliche: difendersi senza trasformare gli altri in bersagli

Il caso Burioni ammonito dal Garante Privacy mette infine in discussione un’abitudine sempre più diffusa nel confronto pubblico: rispondere alle contestazioni non soltanto attraverso argomentazioni, ma mostrando chi si trova dall’altra parte.

È una scelta che può cambiare profondamente la natura di una discussione. Quando l’attenzione passa dal contenuto di un esposto alle generalità di chi lo ha sottoscritto, il confronto rischia di spostarsi dalle idee alle persone.

Questo non rende i promotori di iniziative disciplinari immuni dalle critiche. Le loro contestazioni possono essere respinte, analizzate pubblicamente e considerate infondate. Anche le motivazioni personali che si ritengono alla base di una campagna possono diventare oggetto di dibattito, nei limiti consentiti dalla legge.

La differenza sta negli strumenti utilizzati.

Un personaggio pubblico può disporre di una capacità di comunicazione enormemente superiore a quella del singolo cittadino. Non è una colpa, naturalmente. È una circostanza che rende ancora più delicata la scelta di identificare pubblicamente persone coinvolte in una controversia.

Il Garante, attraverso l’ammonimento, non ha affermato che Burioni dovesse tacere davanti alle accuse. Ha stabilito che avrebbe potuto contestarle senza rendere riconoscibili alcuni firmatari attraverso la divulgazione dei loro dati.

Una differenza sostanziale, soprattutto in un’epoca in cui pubblicare è facilissimo, mentre recuperare il controllo su ciò che è stato pubblicato può rivelarsi impossibile.

La libertà di parola non si misura dalla possibilità di esporre gli altri, ma dalla forza delle ragioni con cui si è capaci di rispondere. Ed è forse questo l’aspetto più importante di una vicenda nata da un esposto disciplinare, passata attraverso un archivio digitale e finita davanti all’Autorità che vigila sulla protezione dei dati personali.