News su privacy, cybersecurity, NIS2, AI, tributi

Diventa applicabile l’obbligo di progettazione previsto dal Regolamento (UE) 2023/2854: cosa cambia per fabbricanti, fornitori ed enti pubblici che acquistano dispositivi connessi, e cosa verificare da subito nei contratti di fornitura

Con la sanzione a Fabrizio Corona il Garante privacy ribadisce un principio che riguarda chiunque, non solo i personaggi noti: la notorietà altrui non legittima mai, di per sé, la diffusione di conversazioni e contenuti privati

Entro il 23 settembre 2026 le Pubbliche Amministrazioni devono riesaminare e, se necessario, aggiornare la Dichiarazione di accessibilità per ciascun sito web e applicazione mobile di cui sono titolari. L’adempimento, però, ha senso solo se riflette una verifica effettiva. Per i privati, dopo l’entrata in applicazione dell’European Accessibility Act, il quadro richiede invece di qualificare il servizio concreto e la disciplina applicabile.

La CNIL ha pubblicato una guida per riconoscere e gestire il conflitto di interessi del DPO – responsabile della protezione dei dati. Il criterio nasce dal GDPR e riguarda anche le organizzazioni italiane. Alcune delle soluzioni proposte in Francia, però, non possono essere trasferite automaticamente nel nostro ordinamento.

La Francia ha provato a vietare i social network ai minori di quindici anni. Prima il confronto con Bruxelles ha portato il Parlamento a eliminare quasi tutti i meccanismi nazionali pensati per far rispettare il divieto, poi il Consiglio costituzionale lo ha censurato. Il caso mostra quanto sia difficile proteggere i ragazzi senza estendere il controllo a tutti.

Le FAQ ACN MSB.12–MSB.19 spiegano come passare dalla valutazione del rischio ai requisiti contrattuali: niente automatismi, requisiti proporzionati alla specifica fornitura e verifiche durante l’esecuzione.

ACN pubblica le FAQ MVE.1–MVE.5 su monitoraggio, vigilanza ed esecuzione. Ecco come funzionano controlli e ispezioni, quali differenze esistono tra soggetti essenziali e importanti e come organizzare le evidenze della conformità NIS2.

Con il provvedimento n. 577 del 23 luglio 2026, reso noto il 7 agosto, il Garante privacy ha ammonito R.T.I. e vietato l’ulteriore trattamento dei dati di Enrico Mentana con le modalità contestate in alcuni servizi di Striscia la Notizia. Nessuna sanzione pecuniaria, in ragione della novità della questione. Il caso chiarisce che anche un deepfake impiegato a fini satirici deve rispettare la dignità della persona e i principi di liceità, correttezza, trasparenza e protezione dei dati fin dalla progettazione.

Il Garante ha aggiornato le FAQ sull’accesso ai dati della cartella clinica e ora la gratuità della prima copia è affermata senza giri di parole. È l’occasione per un punto completo su un documento che accompagna ogni ricovero, tra diritto di accesso GDPR, termine dei sette giorni della legge Gelli-Bianco, richieste di terzi ed eredi, conservazione senza scadenza e la trasformazione digitale che culminerà nello Spazio europeo dei dati sanitari.

Il Consiglio dei ministri ha licenziato in via definitiva i due decreti di adeguamento all’AI Act. Fino a pochi giorni fa l’identificazione biometrica in tempo reale in Italia era di fatto inutilizzabile, perché mancava la legge nazionale che il Regolamento pretende, e ora quella legge c’è. Alcune condizioni poste dal Garante risultano accolte, altre no, e per i Comuni si apre una partita che si giocherà nelle convenzioni.

APPROFONDIMENTO – Con la sentenza n. 1491/2026 il TAR Catania chiarisce che per ottenere dal Comune le immagini di un sinistro serve una procura speciale ad hoc, perché il mandato generico a gestire la pratica risarcitoria non copre l’accesso ad atti che toccano la riservatezza di terzi. Una regola operativa preziosa per uffici e comandi di polizia locale, che completa il nostro approfondimento di aprile sull’accesso ai filmati.

Con il provvedimento del 23 luglio 2026, reso noto il 31 luglio, il Garante privacy ha sanzionato TIM per 9.516.000 euro. Numeri camuffati, finte richieste di ricontatto costruite via web e diritti degli interessati rimasti senza risposta. La lezione vale per ogni organizzazione, pubblica o privata, che affida a terzi attività di contatto con utenti e cittadini.

Backup della posta per 5 anni dopo la cessazione del rapporto e accesso retroattivo ai messaggi degli ex dipendenti. Il provvedimento n. 476 del 18 giugno 2026 fissa paletti che valgono per ogni datore di lavoro, pubblico e privato.

Una nota riservata protocollata senza cautele e consultabile da colleghi non autorizzati è costata all’ente una sanzione di 12.000 euro. Il provvedimento del garante, reso noto il 29 luglio, fissa un principio che vale per ogni Comune ed ente pubblico, ovvero che il protocollo informatico deve garantire l’accesso selettivo ai documenti.

Lo sprint del Governo in Parlamento sullo schema di decreto per l’uso dell’IA da parte delle Forze di polizia e il parere favorevole con condizioni del Garante. Cosa prevedono gli articoli 8 e 10, dove si concentrano le critiche e perché la polizia locale, che gestisce gran parte delle telecamere comunali, resta fuori dal nuovo assetto.

iSimply presenta un percorso formativo in modalità Webinar Live composto da 4 appuntamenti sul tema dell’Intelligenza Artificiale tenuti dal Dott. Enrico Capirone.

Il decreto del Ministero dell’Interno del 22 aprile 2026 apre la procedura per finanziare nuovi impianti di videosorveglianza urbana. Requisiti, criteri di punteggio e termine del 24 agosto 2026 per presentare domanda alla Prefettura. E una regola spesso dimenticata, ovvero che l’impianto finanziato deve rispettare il GDPR fin dalla progettazione.

Il Digital Omnibus è entrato in vigore e ha modificato il calendario dell’AI Act. Dal 2 agosto 2026 diventano applicabili soprattutto gli obblighi di trasparenza, le sanzioni per i fornitori di GPAI e ulteriori strumenti di vigilanza, mentre la disciplina dei sistemi ad alto rischio è stata rinviata. Scarica il nuovo approfondimento iSimply.

Quattro ordinanze ingiunzione del 3 luglio 2026 colpiscono Hera Comm, EstEnergy, Cerved ed Experian. Il punteggio che decide se attivare una fornitura deve essere spiegabile, verificabile e contestabile.

Un automobilista multato per passaggio col rosso presenta reclamo e il Garante accerta cartellonistica inidonea, mancato oscuramento dei veicoli terzi e DPIA tardiva. Ne seguono una sanzione da 5.000 euro e la pubblicazione del provvedimento. La lezione vale per ogni Comune che usa sistemi video per le sanzioni stradali.

Abbiamo pubblicato la prima Rendicontazione di Sostenibilità e adottato il Sistema di Gestione per la Parità di Genere UNI/PdR125:2022

Il Garante privacy ha sanzionato Wind Tre per l’esfiltrazione dei dati di oltre 365mila clienti: gli hacker si sono finti tecnici dell’assistenza e hanno convinto due punti vendita a farli entrare nei sistemi. Un copione che abbiamo già visto contro i Comuni. Ecco cosa insegna il provvedimento e le verifiche da fare subito in azienda e nell’ente.

Chi siede in un consiglio di amministrazione o in un organo direttivo di un soggetto NIS si pone da tempo una domanda molto concreta: il vertice deve approvare ogni documento che riguarda la cybersicurezza, comprese le procedure tecniche, le istruzioni operative e i manuali utilizzati quotidianamente dalle strutture?

Con la decisione vincolante 1/2026, pubblicata il 14 luglio, il Comitato europeo per la protezione dei dati ha stabilito che il reclamo di noyb sui cookie banner dell’emittente belga VRT non poteva essere archiviato come “abuso del diritto” e va deciso nel merito. Un segnale chiaro per tutti: l’enforcement sui banner di consenso prosegue. Ecco le verifiche da fare subito sul proprio sito.

Con il provvedimento del 3 luglio 2026, reso noto il 9 luglio, il Garante privacy ha sanzionato la società che gestisce Character.AI per carenze nell’informativa, DPIA tardiva, mancata tempestiva designazione del rappresentante UE e criticità nella tutela dei minori. Prescritte verifica dell’età efficace e profili privati di default per i minorenni. Ecco cosa insegna a chi offre o adotta servizi di intelligenza artificiale generativa

Nella plenaria di luglio l’EDPB ha adottato le linee guida sull’anonimizzazione e sul web scraping per l’IA generativa, in consultazione fino al 30 ottobre 2026, e la versione definitiva delle linee guida blockchain. Un test in tre criteri dirà se i vostri dati sono davvero anonimi. Ecco cosa cambia e le azioni da avviare subito.

Il 2 luglio il Garante ha presentato alla Camera la Relazione sull’attività 2025: 37,7 milioni di euro di sanzioni riscosse (+54,5% sul 2024), 506 provvedimenti correttivi e sanzionatori, notizie di reato quadruplicate. L’IA definita “la nuova infrastruttura del potere”. Ecco i numeri e le azioni concrete per PA e imprese.

Chi non completa l’adempimento entro il 30 giugno vedrà il proprio elenco servizi NIS2 acquisito come definitivo, senza possibilità di correzione.

AI Act, cosa cambia nel 2026: il rinvio sull’alto rischio, le sanzioni e cosa fare adesso

L’Autorità spagnola per la protezione dei dati ha sanzionato con 200.000 euro un’azienda di trasporto che obbligava i conducenti a usare il proprio cellulare e a installarvi app di monitoraggio. Non è un caso italiano, ma i principi sono quelli del GDPR e valgono anche da noi: il “porta il tuo dispositivo” (BYOD) non può diventare un modo per controllare il lavoratore. Ecco cosa insegna e come gestire correttamente il BYOD in azienda e nella PA.

La sentenza n. 7/2026 della Corte dei conti di Bolzano conferma un principio che riguarda da vicino Comuni ed enti: la sanzione del garante pagata dall’ente può tradursi in responsabilità erariale del funzionario che, pur potendo, non ha adottato le misure. Ecco il caso, chi risponde e cosa fare.

Entro il 31 maggio 2026 i soggetti essenziali e importanti devono elencare i fornitori rilevanti NIS2. ACN risponde alle domande.

La pubblicazione online di atti edilizi è oggi una delle aree a maggior rischio per gli uffici tecnici comunali. Permessi di costruire, SCIA, CILA, autorizzazioni paesaggistiche, ordinanze di sospensione lavori e di demolizione contengono dati personali — nominativi, dati anagrafici, riferimenti catastali, indirizzi puntuali, talvolta dati relativi alla salute — la cui diffusione non è mai libera.

Il Garante privacy ha adottato le Linee guida sui tracking pixel nelle email. Ecco quando serve il consenso, quando valgono le deroghe e quali verifiche fare entro il 29 ottobre 2026.

L’Agenzia per la cybersicurezza nazionale (ACN) ha pubblicato le modalità operative per l’elencazione e la categorizzazione delle attività e dei servizi che rientrano nel perimetro della Direttiva NIS2.

Il 30 aprile 2026 è stata pubblicata la norma UNI 11621-8:2026, un nuovo riferimento tecnico che definisce i 12 profili professionali dell’Intelligenza Artificiale.

L’Agenzia per la Cybersicurezza Nazionale (ACN) ha pubblicato due nuove Determine operative, che segnano un passaggio chiave nell’attuazione della direttiva NIS2.

Accesso ai filmati di videosorveglianza nei sinistri stradali: quando il Comune deve concederlo, quando può negarlo e come evitare violazioni GDPR.

il 4 marzo 2026 AgID ha pubblicato le Linee Guida sull’accessibilità dei servizi digitali. Non si tratta di nuovi obblighi: l’European Accessibility Act è in vigore in Italia dal 28 giugno 2025, le Pubbliche Amministrazioni erano già soggette all’obbligo con la Legge Stanca.

Il nostro presidente Enrico Capirone è stato ospite a Coffee Tech su La7  in qualità di presidente di CNA Comunicazione e Terziario Avanzato, nel corso di un confronto dedicato ai cambiamenti introdotti dall’intelligenza artificiale nella società.

Accompagniamo la Pubblica Amministrazione nella transizione digitale, offriamo supporto ai Comuni e ai Responsabili della Transizione Digitale

In vista delle prossime consultazioni referendarie, è stata predisposta una circolare informativa accompagnata da un modello di nomina immediatamente utilizzabile, finalizzati a supportare i Comuni nella corretta gestione degli adempimenti privacy connessi alle operazioni di seggio.

iSimply nasce per affiancare i Comuni italiani nella gestione dei tributi locali. Lo facciamo da oltre 20 anni, per più di 200 Enti in tutta Italia — aiutandoli a lavorare meglio, senza stravolgere nulla di ciò che già funziona.

AgID apre la consultazione pubblica sulle linee guida per lo sviluppo e il procurement dei sistemi di intelligenza artificiale nella Pubblica Amministrazione. Commenti fino all’11 aprile 2026.

Droni della Polizia Locale: cosa dice davvero la normativa su competenze, privacy e DPIA nei Comuni. Il dibattito sul presunto stop riporta l’attenzione sui limiti operativi.

La legge 30 dicembre 2025 n. 199 (legge di bilancio 2026), ai commi 102-110 dell’articolo 1, introduce un istituto di particolare rilievo per la finanza territoriale: la possibilità per Regioni ed enti locali di disciplinare, con proprio regolamento, forme di definizione agevolata delle entrate tributarie e patrimoniali.

La pubblicazione riguarda i siti web istituzionali, le applicazioni mobili e gli altri servizi digitali, inclusi i documenti online, e ha come obiettivo garantire l’accesso a tutti, indipendentemente dalle disabilità.

La riscossione dei tributi locali sta cambiando profondamente: con la riforma della riscossione coattiva e le novità della legge di bilancio 2026, il tradizionale modello passivo non è più sostenibile. Alle amministrazioni si impone una maggiore responsabilità, con una gestione proattiva dei crediti e dei processi.

Le più recenti ordinanze ingiunzione del Garante per la protezione dei dati personali in materia di videosorveglianza comunale segnano un passaggio netto. Non si tratta di richiami formali o di irregolarità marginali, ma di decisioni che incidono direttamente sulla possibilità di continuare a utilizzare gli impianti, anche con misure correttive che possono arrivare al divieto di trattamento e alla cancellazione dei dati già raccolti.

La Pubblica Amministrazione è esposta a minacce informatiche di cybersecurity che non incidono soltanto sui sistemi, ma sulla continuità dei servizi e, di conseguenza, sul rapporto di fiducia con cittadini e imprese. In un ente pubblico, un incidente cyber non è mai “solo tecnico”: può tradursi in indisponibilità di servizi digitali, rallentamento delle attività, impatti sul trattamento dei dati e necessità di gestire comunicazioni e ripristino in tempi rapidi.

AI generativa e documenti interni: rischi e regole per PA e aziende Il caso CISA–ChatGPT e i rischi concreti per PA e aziende italiane   L’uso di strumenti di intelligenza artificiale generativa nelle pubbliche amministrazioni e nelle aziende italiane pone un tema spesso sottovalutato: la gestione dei documenti ad uso interno. Un recente caso emerso […]

Con questa newsletter vogliamo richiamare l’attenzione dei Comuni che utilizzano sistemi di videosorveglianza per finalità di sicurezza urbana.
Le telecamere sono uno strumento utile, ma richiedono regole chiare e una gestione corretta, perché comportano il trattamento di dati personali.

Cassazione e caso De Luca: pubblicare foto di minori sui social può violare la privacy. Cosa devono sapere sindaci e enti pubblici su GDPR e Carta di Treviso.

Il parere del Garante del 9 ottobre 2025 come snodo della nuova governance dei canali di segnalazione

La riscossione tributi locali sta entrando in una fase di cambiamento strutturale. Molti Comuni si trovano a gestire un magazzino crediti in crescita, con residui attivi stratificati nel tempo, difficili da leggere e da amministrare. Per anni la riscossione locale ha seguito un modello prevalentemente passivo, basato su affidamenti consolidati e sulla convinzione che il recupero coattivo potesse essere delegato in modo stabile. Oggi questo approccio non è più sostenibile.

videosorveglianza comunale e sicurezza urbana: cosa dicono i nuovi provvedimenti del garante privacy su Curtarolo e Orte e quali verifiche devono fare subito i comuni.

Le Pubbliche Amministrazioni e i gestori di pubblici servizi devono compilare entro il 31 dicembre 2025 il questionario AgID su formazione, gestione e conservazione dei documenti informatici. Ecco chi è coinvolto e come partecipare.

PA Training – NIS2 è un programma formativo erogato in modalità digitale e progettato per supportare gli organi di amministrazione e direzione delle pubbliche amministrazioni nello sviluppo delle competenze necessarie alla gestione del rischio informatico.

La determinazione di ACN n. 333017/2025 introduce un nuovo adempimento per i soggetti NIS ai sensi del d.lgs. 138/2024: la designazione del referente CSIRT entro il 31 dicembre 2025.

Il tuo sito è accessibile per tutti i cittadini?
Con oltre il 22% della popolazione italiana che vive una forma di disabilità, garantire l’accesso universale ai servizi e ai prodotti online è non solo un obbligo normativo, ma anche un’opportunità per rendere il digitale davvero per tutti.

E questo è ancora più cruciale per le Pubbliche Amministrazioni, che hanno il dovere – oltre che l’opportunità – di garantire a ogni cittadino pari accesso ai servizi digitali, favorendo così una società più inclusiva e partecipativa.

Introduzione
Spesso ci viene chiesto come gestire in modo conforme al Regolamento (UE) 2016/679 (GDPR) le caselle e-mail istituzionali condivise o di ruolo — come sindaco@, presidente@, segreteria@ o urp@.
Questo approfondimento fornisce agli enti pubblici (Comuni, Unioni, Consorzi, Aziende speciali, ecc.) linee guida operative e un fac-simile di disposizione interna aggiornato ai più recenti provvedimenti del Garante per la protezione dei dati personali, per garantire tracciabilità, sicurezza e tutela dei dati personali nelle comunicazioni elettroniche.

Con la circolare n. 75 del 30 settembre 2025, il Ministero dell’Interno – Direzione Centrale per i Servizi Demografici ha segnalato un tentativo di frode informatica ai danni di un Comune, in cui falsi tecnici informatici hanno contattato gli uffici comunali per ottenere accessi remoti non autorizzati alla piattaforma ANPR (Anagrafe Nazionale della Popolazione Residente).

Sai qual è oggi la principale minaccia informatica per le imprese italiane?
Il phishing, che secondo Agenda Digitale rappresenta la principale porta d’ingresso per i cybercriminali.

Quando una password debole mette KO la sicurezza – anche nei Comandi di Polizia Locale. Come il furto dei gioielli al Louvre insegna l’importanza di password sicure nella videosorveglianza urbana e nella Polizia Locale. Password deboli e cattive abitudini mettono a rischio i sistemi di videosorveglianza. Le buone pratiche per la Polizia Locale.

Il Decreto NIS2 introduce un quadro organico di obblighi, controlli e responsabilità finalizzati a rafforzare la resilienza informatica delle infrastrutture critiche, delle imprese strategiche e delle Pubbliche Amministrazioni.

iSimply e AccessiWay insieme per un digitale davvero accessibile
L’accessibilità digitale è oggi una priorità imprescindibile per costruire un mondo più inclusivo. Con oltre il 22% della popolazione italiana che vive una forma di disabilità, garantire l’accesso universale ai servizi e ai prodotti online è non solo un obbligo normativo, ma anche un’opportunità per rendere il digitale davvero per tutti.

Incentivi ai dipendenti: cosa prevede il nuovo parere ANAC e come applicarlo correttamente
Con il parere n. 2764 del 23 luglio 2025, l’Autorità Nazionale Anticorruzione (ANAC) ha chiarito come devono essere pubblicati i dati relativi agli incentivi per funzioni tecniche (il cosiddetto “2%”) corrisposti ai dipendenti pubblici che svolgono attività aggiuntive.
Un chiarimento importante, che aiuta gli enti a bilanciare trasparenza e tutela dei dati personali.

Spettabili Responsabili dell’Ufficio Tributi e dell’Ufficio Ragioneria,   Con l’approssimarsi della scadenza del 31 dicembre 2025, è cruciale agire in tempo per recuperare le entrate tributarie relative all’IMU e alla TARI per l’anno 2020, e per verificare le dichiarazioni omesse o infedeli dell’anno 2019. Un intervento tempestivo è fondamentale per evitare la perdita di risorse […]

Entro ottobre 2026, migliaia di organizzazioni dovranno dimostrare di avere processi, ruoli e tecnologie adeguati a prevenire e gestire i rischi cyber. 

Ma da dove iniziare? 
👉 isimply, attiva da oltre 20 anni nei processi di trasformazione digitale e nella formazione, e SecurValue, la business unit di NPOtorino specializzata in cybersecurity e compliance, hanno unito le forze per accompagnare le aziende in questo percorso.

Dal 9 agosto 2025, i Comuni italiani dispongono di un nuovo strumento per contrastare l’abbandono di piccoli rifiuti come mozziconi di sigaretta, cartacce, scontrini e gomme da masticare. Il Decreto-Legge 8 agosto 2025, n. 116, noto come “Decreto Terra dei Fuochi”, ha modificato il Codice dell’Ambiente (D.lgs. 152/2006) e il Codice della Strada (D.lgs. 285/1992), introducendo misure che rendono più semplice sanzionare comportamenti incivili che compromettono il decoro urbano.

vademecum “Buone pratiche di cybersecurity di base per i dipendenti delle PP.AA.

L’articolo, intitolato “Privacy dei dipendenti comunali, come evitare sanzioni: le regole” è stato recentemente pubblicato sul noto portale online “Agenda Digitale” una delle riviste più autorevoli nel campo della Trasformazione Digitale.
L’articolo approfondisce il tema della pubblicazione dei dati dei dipendenti nell’ottica del rispetto alla tutela dei dati personali.

con questa nostra nuova newsletter vogliamo ribadire un concetto fondamentale per ogni organizzazione pubblica e privata: la protezione dei dati personali non è un lusso, né una voce di bilancio sacrificabile, ma è innanzitutto un obbligo di legge previsto dal Regolamento (UE) 2016/679

La transizione digitale sta trasformando il modo in cui i Comuni lavorano e offrono servizi ai cittadini. Strumenti digitali, piattaforme online, cloud e nuove tecnologie fanno ormai parte della gestione quotidiana

È entrato in vigore il 24/05/2025 il nuovo Accordo Stato-Regioni, che rivoluziona l’impianto formativo in materia di Salute e Sicurezza nei luoghi di lavoro. iSimply insieme a Gruppo 2G ti aiuta a gestire il cambiamento organizzativo, restare conformi e far crescere la cultura della sicurezza nella tua organizzazione. Il 17 aprile 2025 la Conferenza Stato-Regioni […]

Spetta al Titolare del trattamento gestire i dati personali nel rispetto dei principi di integrità e riservatezza, nello specifico relativamente all’operato di ditte di pulizie esterne.

L’email è uno strumento di lavoro indispensabile, ma se non gestita correttamente può esporre a rischi significativi per la privacy.

Nel mese di aprile l’Agenzia per la Cybersicurezza Nazionale – soggetto attuatore e autorità per la Direttiva NIS 2 sulla cybersicurezza – ha adottato tre importanti determinazioni

Gentili Comandanti,
con il provvedimento del 19 dicembre 2024 (doc. web n. 10107263), il Garante per la protezione dei dati personali ha sanzionato il Comune di Levanto per l’uso illecito di sistemi di videosorveglianza.

iSimply è al fianco del Comune per il supporto nella simulazione delle tariffe TARI per l’anno 2025, una fase cruciale nella definizione dei costi del servizio di gestione rifiuti.

Privacy e minori: con questa newsletter vogliamo responsabilizzarvi a fare attenzione nel pubblicare sul vostro sito o su social immagini di minori.

Il Garante per la protezione dei dati personali ha recentemente condiviso il piano dell’attività ispettiva da svolgere nel periodo da gennaio a giugno 2025

Rosso semaforico: il Garante della privacy, con provvedimento n. 766 del 12 dicembre 2024 ha sanzionato un Comune per non aver fornito agli interessati un’informativa privacy.
Ecco le regole per evitare pesanti sanzioni

Il D.lgs 209/2024 ha recentemente modificato il Codice degli Appalti (D.lgs 36/2023) introducendo il comma 5 bis all’articolo 35.

La posta elettronica aziendale del dipendente: la recente ordinanza n. 807/2025 della Corte di Cassazione.