GDPR e protezione dei dati: rassegna stampa iSimply del mese di ottobre 2026 - iSimply

Rassegna stampa GDPR e protezione dei dati ottobre 2026

EDITORIALE – OTTOBRE 2026

Cari custodi della privacy,

A ottobre abbiamo seguito un filo comune: che cosa accade a un dato personale quando esce dal contesto in cui è stato raccolto? Che finisca in una banca dati, su un sito, in una email tracciata o in una ripresa, servono sempre una base giuridica chiara, dati ridotti al necessario e la prova dei controlli svolti.

Il caso più rilevante riguarda la sanità. Il Garante ha sanzionato IQVIA Solutions Italy per 7 milioni di euro: la banca dati raccoglieva informazioni su circa un milione di pazienti provenienti da circa 800 medici. I dati non erano davvero anonimi, perché un codice persistente permetteva di collegare le informazioni alla stessa persona. Definire un dato «anonimo» non basta: occorre poterlo dimostrare.

Per gli enti pubblici il tema centrale è la pubblicazione online. AgID è stata sanzionata per un elenco rimasto sul web per anni, l’Università di Teramo per un ordine del giorno con il numero di una causa e Rome Technopole per un file con colonne nascoste. Prima di pubblicare servono una norma, dati limitati al necessario e una data di rimozione.

Per imprese e responsabili, il 29 ottobre è terminato il periodo di adeguamento sui tracking pixel nelle email. Poste Italiane-Deutsche Bank ricorda che i ruoli privacy dipendono dai fatti, non dal nome nel contratto. Uber, Xandr e Fnac richiamano decisioni automatizzate comprensibili, consenso valido e rifiuto dei tracker rispettato.

Sul fronte normativo, il d.lgs. n. 179/2026 attua l’AI Act in Italia. Il mandato del Consiglio UE sul Digital Omnibus è invece ancora negoziale: può cambiare e non modifica gli obblighi attuali. Distinguiamo inoltre sentenze, conclusioni degli Avvocati generali e commenti.

Per novembre proponiamo un esercizio: scegliete un flusso di dati in uscita, ricostruite chi lo autorizza, riceve e controlla, poi conservate l’esito. Per ogni notizia trovate anche il motivo per cui conta e un’azione concreta.

Con stima e fiducia in un domani più sicuro,

Enrico Capirone

Presidente iSimply e Senior Advisor Gruppo 2G

NOTIZIE IN EVIDENZA

Abbiamo raccolto le notizie più utili per chi decide e controlla i trattamenti. Le prime riguardano Comuni ed enti pubblici; le successive imprese e professionisti. I dettagli e i collegamenti alle fonti sono nelle sezioni che seguono.

In evidenza per gli enti pubblici (Comuni e PA)

Pubblicazioni online: AgID, Università di Teramo e Rome Technopole sanzionate. Con i provvedimenti nn. 745 e 753 del 7 ottobre e n. 634 del 23 settembre il Garante ribadisce che si pubblica solo ciò che una norma impone, e che un elenco o un ordine del giorno possono contenere dati nascosti o non necessari.
Videosorveglianza comunale: 4.000 euro al Comune di Arvier. Con il provv. n. 636 del 23 settembre è stata censurata una telecamera che inquadrava un’abitazione, con segnaletica insufficiente e una DPIA del 2018 ritenuta generica; il Garante ha ordinato il censimento di tutte le telecamere.
Controlli sui DPO degli enti pubblici. Il piano ispettivo del Garante per il secondo semestre 2026, adottato con la delibera n. 545 del 23 luglio, prevede almeno 35 accertamenti. Tra gli ambiti indicati rientrano i soggetti che forniscono il servizio di RPD a enti pubblici: vanno verificati attività effettivamente svolta, indipendenza e possibili conflitti di interesse.
lgs. n. 179/2026 e IA nella PA. Il decreto attua l’AI Act in Italia (ACN e AgID come autorità); il Garante ha espresso parere condizionato sul regolamento sull’IA della Provincia di Trento: servono fonti normative adeguate e misure per rettifica e cancellazione.

In evidenza per il settore privato (imprese e professionisti)

Dati sanitari e banche dati: 7 milioni di euro a IQVIA. Con il provvedimento n. 710 del 23 settembre, reso noto il 2 ottobre, il Garante ha ritenuto non anonima una banca dati con informazioni riferite a circa un milione di pazienti, provenienti da circa 800 medici di famiglia. Un codice persistente consentiva infatti di collegare tra loro i dati della stessa persona.
Tracking pixel nelle email: scaduto il periodo transitorio. Dal 29 ottobre vanno applicate le Linee guida del Garante del 17 aprile 2026 (consenso preventivo salvo eccezioni, revoca anche selettiva); le verifiche rientrano nel piano ispettivo del secondo semestre.
Ruoli privacy accertati nei fatti: Poste Italiane e Deutsche Bank. Nei provv. nn. 747 e 746 del 7 ottobre il Garante ha qualificato le due società come titolari autonomi, non come titolare e responsabile, e ha sanzionato le informative per 48.000 e 33.000 euro.
Sanzioni europee su consenso e decisioni automatizzate. Le autorità di controllo hanno sanzionato Uber per 824.990.000 euro, Xandr per 8,6 milioni e due società del gruppo Fnac per complessivi 7 milioni. I casi riguardano decisioni automatizzate sugli account, validità del consenso e tracker attivi nonostante il rifiuto.

La rassegna in numeri

Periodo di riferimento: Ottobre 2026 (mese solare).

Voci selezionate e verificate: 36

Sezioni tematiche: 7

Fonti consultate e incrociate: garanteprivacy.it, edpb.europa.eu, autoriteitpersoonsgegevens.nl, cnil.fr, consilium.europa.eu, eur-lex.europa.eu, curia.europa.eu, nist.gov, acn.gov.it, commission.europa.eu, sistemapenale.it, agendadigitale.eu, cybersecurity360.it, cybersecitalia.it, ictsecuritymagazine.com, lentepubblica.it, diritto.it, dirittobancario.it, altalex.com, eius.it.

INDICE

Le sezioni della rassegna di questo mese, con una breve descrizione di cosa contiene ciascuna.

▪ Editoriale del mese — La lettura d’insieme di ottobre: il dato che esce dal perimetro, tra anonimizzazione, pubblicazione, tracciamento e nuovi sensori.

▪ Notizie in evidenza — I fatti più importanti del mese, distinti fra enti pubblici e settore privato, con il rimando alle sezioni di dettaglio.

▪ 1. Garante per la protezione dei dati personali – provvedimenti e sanzioni — IQVIA, pubblicazioni online di AgID, Teramo e Rome Technopole, videosorveglianza di Arvier, Poste e Deutsche Bank, FAQ sui SIC, minori, telemarketing e tracking pixel.

▪ 2. Novità normative italiane ed europee — La posizione del Consiglio UE sul Digital Omnibus, la nuova determinazione ACN sulla registrazione NIS2, i pareri del Garante su IT-Wallet e fascicolo sanitario.

▪ 3. EDPB e strumenti operativi per il DPO — La dichiarazione EDPB sugli occhiali intelligenti, i pareri sulle norme vincolanti d’impresa e le sanzioni a Uber, Xandr e Fnac.

▪ 4. AI Act e uso conforme dell’AI — Il d.lgs. n. 179/2026, il parere sul regolamento IA della Provincia di Trento, la checklist per i Comuni e la DPIA degli agenti di IA.

▪ 5. Giurisprudenza — Conclusioni dell’Avvocato generale nella causa C-222/25, accesso agli atti e riservatezza degli accertatori, enforcement del GDPR e registro dei titolari effettivi.

▪ 6. Cybersecurity, tecnologie emergenti e segnali — Rapporto ACN di settembre, NIS2 e Comuni, scadenze dopo ottobre, crittografia post-quantistica e mese europeo della cybersicurezza.

▪ 7. Approfondimenti metodologici per il DPO — Controlli sui DPO esterni nella PA e guide operative sui tracking pixel nelle email.

▪ Cosa fare questo mese: indicazioni pratiche — L’elenco operativo delle azioni concrete suggerite dai provvedimenti e dai segnali del mese, con i destinatari e i tempi.

▪ Scadenze normative in arrivo — Il calendario delle scadenze con l’indicazione, per ciascuna, di chi è effettivamente tenuto.

Garante per la protezione dei dati personali – provvedimenti e sanzioni

02/10/2026 (provv. n. 710 del 23/09/2026, reso noto con il comunicato del 02/10/2026) | Fonte: garanteprivacy.it

Banca dati sanitaria non anonima: 7 milioni di euro a IQVIA Solutions Italy

#sanità #anonimizzazione #datisanitari #mediciedifamiglia

Con l’ordinanza-ingiunzione n. 710 del 23 settembre 2026, comunicata il 2 ottobre, il Garante ha sanzionato IQVIA Solutions Italy per 7 milioni di euro. La banca dati LPD raccoglieva, tramite un componente installato nei software di cartella clinica di circa 800 medici di famiglia, informazioni riferite a circa un milione di pazienti. Per l’Autorità i dati non erano anonimi: un identificativo persistente permetteva di collegare tra loro le informazioni della stessa persona. Il Garante ha qualificato IQVIA come titolare dell’intero trattamento e ha rilevato, tra l’altro, l’assenza di una base giuridica adeguata, informative insufficienti e la mancanza di una procedura di cancellazione. Una violazione di dati ha inoltre mostrato la presenza, nei campi di testo libero, di oltre 3.300 riferimenti direttamente identificativi. Entro 120 giorni la società deve adeguare il trattamento; in alternativa, l’anonimizzazione dovrà avvenire presso i medici con le garanzie indicate dall’Autorità.

Perché è rilevante: Il caso interessa i fornitori che raccolgono dati dai sistemi dei propri clienti per finalità proprie, ma anche medici e strutture che ne consentono l’installazione. Un dataset è anonimo solo se non è ragionevolmente possibile risalire alle persone. Ogni organizzazione deve quindi conoscere i flussi in uscita e definire i ruoli in base alle attività realmente svolte.

Azione pratica: Chiedi ai fornitori quali dati escono dai software in uso, con quali identificativi e per quali scopi. Controlla contratti e ruoli privacy. Se i dati vengono dichiarati anonimi, documenta il rischio di re-identificazione; se manca una base giuridica, sospendi il flusso fino alla regolarizzazione.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10302112

• •

05/10/2026 | Fonte: garanteprivacy.it

Email marketing e tracking pixel: il Garante ricorda il termine del 29 ottobre

#trackingpixel #email #ePrivacy #marketing

Il 5 ottobre 2026 il Garante ha pubblicato un comunicato con un vademecum sull’uso dei tracking pixel nelle email, richiamando le Linee guida adottate con provvedimento del 17 aprile 2026 (doc. web n. 10241943), già illustrate nella rassegna di settembre. Per il tracciamento individuale (aperture per singolo destinatario, profilazione) serve il consenso preventivo, libero, specifico e informato, revocabile anche in modo selettivo, in base all’art. 122 del Codice. Sono previste eccezioni per sicurezza, esigenze tecniche strettamente necessarie e comunicazioni istituzionali o di servizio, nel rispetto di proporzionalità e minimizzazione. Il termine di adeguamento era fissato al 29 ottobre 2026 e le verifiche rientrano nelle attività ispettive del secondo semestre. Una guida pratica per i fornitori di servizi di posta è pubblicata separatamente (doc. web n. 10303688).

Perché è rilevante: Con la scadenza del periodo transitorio, il tema passa dalla preparazione alla verifica: chi invia newsletter e campagne, o usa una piattaforma di invio massivo, deve poter dimostrare mappatura, consenso, informativa e possibilità di revoca. Riguarda anche gli enti pubblici che misurano le aperture delle comunicazioni.

Azione pratica: Mappa i flussi di posta con pixel, distingui comunicazioni promozionali e di servizio, aggiorna informative e moduli di consenso e verifica con il fornitore della piattaforma come si registra e si applica la revoca.

Per leggere l’articolo completo: https://www.garanteprivacy.it/garante/doc.jsp?ID=10303585

• •

07/10/2026 (provv. n. 753 del 07/10/2026) | Fonte: garanteprivacy.it

Ordine del giorno con nome e numero di ruolo di una causa di lavoro: 4.000 euro all’Università di Teramo

#PA #università #pubblicazionedati #lavoro

Con l’ordinanza-ingiunzione n. 753 del 7 ottobre 2026 il Garante ha sanzionato per 4.000 euro l’Università degli Studi di Teramo (2.000 se pagati nei termini). L’ordine del giorno del Consiglio di amministrazione, al punto 8.3, citava il nominativo di un dipendente e il numero di ruolo della causa di lavoro che lo riguardava. Il documento è stato inviato per email al personale, al Nucleo di Valutazione e al Consiglio degli Studenti e pubblicato sul sito, in una forma indicizzabile, dal 25 settembre al 14 ottobre 2025. Per il Garante sono stati violati i principi di liceità e minimizzazione (art. 5, par. 1, lett. a e c), le regole sulla base giuridica (art. 6 GDPR) e l’art. 2-ter del Codice; non erano coinvolti dati particolari o giudiziari e non sono state adottate misure correttive.

Perché è rilevante: Anche un dato comune, come il nome associato a una causa, non può circolare senza una base giuridica. L’invio interno e la pubblicazione sul sito sono trattamenti distinti e vanno valutati separatamente. Il principio vale per tutti gli enti con organi collegiali.

Azione pratica: Usa negli ordini del giorno una formula neutra, senza nomi, e prepara una versione pubblicabile separata da quella riservata. Controlla i destinatari, limita l’indicizzazione e stabilisci per quanto tempo il documento deve restare online.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10309253

• •

07/10/2026 (provv. n. 745 del 07/10/2026) | Fonte: garanteprivacy.it

Elenco di candidati rimasto online per oltre quattro anni: 15.000 euro ad AgID

#PA #concorsi #trasparenza #AgID

Il provv. n. 745 del 7 ottobre 2026 sanziona per 15.000 euro l’Agenzia per l’Italia digitale (7.500 se pagati nei termini). Sul portale della trasparenza era rimasto online l’elenco dei 15 candidati ammessi alla prova orale di una selezione del 2021, con nome, cognome e punteggio, dal 2021 al 23 gennaio 2026. Un candidato ne aveva chiesto la rimozione, avvenuta dopo l’intervento del Garante. L’Autorità ha rilevato che nessuna norma consentiva quella pubblicazione e ha accertato la violazione dei principi dell’art. 5 e delle regole sulla base giuridica (art. 6 GDPR e art. 2-ter del Codice). Non sono state adottate misure correttive, perché il file era stato rimosso.

Perché è rilevante: La pubblicazione di un elenco può essere lecita all’inizio e diventare illecita quando viene meno la finalità. Il caso riguarda tutti gli enti che pubblicano esiti di selezioni e mostra che il controllo va ripetuto anche sui contenuti più vecchi.

Azione pratica: Elenca i contenuti presenti da più di due anni nelle sezioni «Amministrazione trasparente» e «Bandi di concorso». Per ciascuno verifica la norma, il termine di pubblicazione e la necessità di mantenere i dati personali. Rimuovi o anonimizza ciò che non serve più.

Per leggere l’articolo completo: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/10309202

• •

08/10/2026 (provv. n. 634 del 23/09/2026, reso noto con la newsletter dell’08/10/2026) | Fonte: garanteprivacy.it

File Excel con colonne nascoste sul sito: 8.000 euro alla Fondazione Rome Technopole

#trasparenza #graduatorie #minimizzazione #PA

Con il provv. n. 634 del 23 settembre 2026, reso noto con la newsletter dell’8 ottobre, il Garante ha sanzionato per 8.000 euro la Fondazione Rome Technopole (ridotti a 4.000 se pagati entro trenta giorni, art. 166, c. 8, del Codice). Sul sito era stata pubblicata, sotto forma di file Excel, la graduatoria di 480 vincitori di borse di studio: nelle colonne nascoste erano presenti indirizzo, codice fiscale, data di nascita, email, documento, IBAN e banca. Il file è stato rimosso dopo circa dodici ore. L’Autorità ha respinto il richiamo all’art. 19 del d.lgs. n. 33/2013, che riguarda i concorsi pubblici e non le borse di studio, e comunque ammette solo dati limitati. Violati i principi di liceità, correttezza, trasparenza e minimizzazione (art. 5, par. 1, lett. a e c) e le regole sulla base giuridica (art. 6 GDPR e art. 2-ter del Codice). Non sono state adottate misure correttive perché la condotta era cessata; la Fondazione si è impegnata a introdurre una checklist con doppia revisione, controlli automatici su codici fiscali e IBAN, e formazione.

Perché è rilevante: La sanzione nasce da un errore operativo, non da una scelta: il file era stato predisposto con dati che non dovevano uscire. Vale per Comuni, università, fondazioni e imprese che pubblicano o inviano tabelle: un foglio di calcolo contiene spesso colonne, fogli e metadati non visibili.

Azione pratica: Prima di ogni pubblicazione trasforma i file in un formato statico (PDF) con una verifica incrociata di due persone; elimina colonne nascoste e metadati; prevedi controlli automatici su codici fiscali, IBAN e altri campi riservati.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10302434

• •

08/10/2026 (provv. n. 636 del 23/09/2026, reso noto con la newsletter dell’08/10/2026) | Fonte: garanteprivacy.it

Telecamera su strada pubblica che inquadra un’abitazione: 4.000 euro al Comune di Arvier

#videosorveglianza #entilocali #DPIA #informativa

Con il provvedimento n. 636 del 23 settembre 2026 il Garante ha sanzionato per 4.000 euro il Comune di Arvier. Una telecamera su strada pubblica riprendeva facciata, balconi e finestre di un’abitazione. La segnaletica era insufficiente, il collegamento all’informativa non aveva funzionato per un periodo e la DPIA del 2018 era troppo generica. Il Garante ha contestato base giuridica, minimizzazione, privacy by design, trasparenza e valutazione d’impatto. Ha ordinato al Comune di censire tutte le telecamere, indicare finalità e base giuridica per ciascuna, mascherare le aree private, completare la DPIA e rivedere le informative. Il Comune deve documentare l’adeguamento entro trenta giorni dalla notifica.

Perché è rilevante: Nei piccoli Comuni la videosorveglianza si stratifica nel tempo, con documenti datati; il provvedimento è un buon elenco di ciò che l’ispettore verifica. Mostra anche che l’attenzione si estende alla singola telecamera, non solo al sistema.

Azione pratica: Entro fine anno ricostruisci l’elenco delle telecamere con planimetria, angolo di ripresa, finalità, base giuridica e tempi di conservazione. Applica il mascheramento delle aree private, controlla cartelli e collegamenti alle informative e aggiorna la DPIA con una data e valutazioni riferite al sistema reale.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10304881

• •

20/10/2026 | Fonte: garanteprivacy.it

Telemarketing: oltre 37.000 segnalazioni nei primi sette mesi del 2026

#telemarketing #marketing #segnalazioni #consumatori

Il 20 ottobre, durante il convegno «Vita digitale e dati personali», il Garante ha diffuso nuovi dati sul telemarketing. Le segnalazioni di chiamate indesiderate sono state circa 104.000 nel 2025 e oltre 37.000 nei primi sette mesi del 2026, più di 170 al giorno. Dal 2020 le sanzioni superano complessivamente 200 milioni di euro. Nei casi di illecito sistematico il Garante può anche confiscare le banche dati. Il comunicato non introduce nuove regole, ma conferma che controlli e segnalazioni restano numerosi.

Perché è rilevante: Chi contatta clienti e potenziali clienti deve conoscere l’origine delle liste e registrare le opposizioni. La responsabilità riguarda anche il committente che affida le chiamate a call center o agenzie esterne. Nei casi più gravi, oltre alla sanzione, può essere persa la banca dati utilizzata illecitamente.

Azione pratica: Verifica contratti e prove di consenso con gli agenti e i fornitori di liste, la consultazione del registro delle opposizioni dove prevista e l’esistenza di un unico elenco delle opposizioni valido per tutti i canali.

Per leggere l’articolo completo: https://www.garanteprivacy.it/garante/doc.jsp?ID=10309361

• •

23/10/2026 (provv. nn. 746 e 747 del 07/10/2026, newsletter n. 554 del 23/10/2026) | Fonte: garanteprivacy.it

Prestiti BancoPosta: Poste Italiane (48.000 euro) e Deutsche Bank (33.000 euro) sono titolari autonomi

#banche #ruoli #informativa #titolarieresponsabili

Il caso nasce dal reclamo di una dipendente di Poste alla quale era stato negato un prestito. Il Garante ha accertato che Poste Italiane e Deutsche Bank agivano come titolari autonomi, non nel rapporto titolare-responsabile indicato nei documenti. Con i provvedimenti n. 747 e n. 746 del 7 ottobre 2026, ha applicato sanzioni rispettivamente di 48.000 e 33.000 euro. L’informativa di Poste non indicava con chiarezza i destinatari dei dati; quella della banca descriveva in modo errato il ruolo di Poste. Deutsche Bank deve fornire un’informativa corretta entro sei mesi e documentare l’adempimento. Poste aveva già aggiornato la propria.

Perché è rilevante: È un promemoria per chi opera in filiera, tra banche, intermediari e società collegate: i ruoli non si scelgono nel contratto ma si accertano in base a chi decide finalità e mezzi. L’informativa deve dire con chiarezza chi sono i destinatari e in quale ruolo trattano i dati.

Azione pratica: Rivedi gli accordi con i partner commerciali: per ciascuno verifica chi decide le finalità, quali dati usa per sé e se l’informativa lo dice; se sono titolari autonomi, non nominarli responsabili e aggiorna le informative.

Per leggere l’articolo completo: https://www.garanteprivacy.it/garante/doc.jsp?ID=10310707

• •

23/10/2026 | Fonte: garanteprivacy.it

FAQ del Garante sui Sistemi di Informazioni Creditizie (SIC)

#SIC #banche #creditoalconsumo #dirittiinteressati

Il 23 ottobre il Garante ha pubblicato le FAQ sui Sistemi di informazioni creditizie gestiti da CTC, CRIF, Experian e Assilea. Il trattamento si basa sul legittimo interesse e non richiede il consenso, purché sia rispettato il Codice di condotta. Il primo ritardo diventa visibile agli altri partecipanti solo dopo almeno quindici giorni dal preavviso al consumatore. Le richieste di finanziamento si conservano per 180 giorni, ridotti a 90 se respinte o annullate. I ritardi poi regolarizzati restano per 12 mesi se riguardano fino a due rate e per 24 mesi se sono maggiori. Gli eventi non regolarizzati restano per 36 mesi, comunque non oltre 60. I rapporti regolari si conservano per 60 mesi. L’interessato può esercitare i diritti sia verso il partecipante sia verso il gestore, entrambi titolari autonomi.

Perché è rilevante: Le FAQ spiegano come il Garante applica il Codice di condotta. Sono rilevanti per banche e finanziarie e, quando partecipano ai SIC, anche per utility e società di servizi che concedono rateizzazioni. Inserire i termini corretti nei processi riduce il rischio di segnalazioni inesatte.

Azione pratica: Verifica nelle procedure di recupero crediti che il preavviso sia inviato e documentato prima della segnalazione, che le cancellazioni seguano le tempistiche del Codice e che i clienti sappiano a chi chiedere accesso e rettifica.

Per leggere l’articolo completo: https://www.garanteprivacy.it/garante/doc.jsp?ID=10310041

• •

27/10/2026 (provv. n. 809 del 27/10/2026) | Fonte: garanteprivacy.it

Minore indicato come autore di danni durante le proteste a Milano: limitazione provvisoria nei confronti di sei testate

#minori #giornalismo #cartaditreviso #limitazione

Con il provvedimento d’urgenza n. 809 del 27 ottobre 2026 il Garante ha disposto la limitazione provvisoria del trattamento nei confronti di sei editori. I contenuti indicavano un minore di undici anni come autore di danni durante le proteste a Milano e riportavano dettagli come età, quartiere, scuola o classe; in alcuni casi erano visibili anche nome e volto. La sola pixelatura parziale non è stata ritenuta sufficiente. Il Garante ha vietato l’ulteriore diffusione dei dati e delle immagini che consentivano di identificare il minore, compresi i contenuti già online, con effetto immediato e riscontro entro tre giorni. Non è stata applicata una sanzione. Il provvedimento è stato adottato in via d’urgenza; alla data di chiusura della rassegna non risulta pubblicato un atto di ratifica.

Perché è rilevante: Il provvedimento riguarda in primo luogo i media, ma il principio vale per chiunque comunichi pubblicamente: enti, scuole, società e profili istituzionali. Quando è coinvolto un minore, un insieme di dettagli può renderlo identificabile anche senza nome e con volto sfocato.

Azione pratica: Adotta una regola interna per le comunicazioni e i social che riguardano minori: nessun dato che consenta di identificarli, controllo editoriale preventivo e procedura rapida di rimozione dei contenuti.

Per leggere l’articolo completo: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/10312408

• •

Novità normative italiane ed europee

23/10/2026 (parere n. 631 del 23/09/2026, newsletter n. 554 del 23/10/2026) | Fonte: garanteprivacy.it

IT-Wallet: parere favorevole del Garante sulle misure tecniche e organizzative

#ITWallet #identitàdigitale #DPIA #PA

Con il parere n. 631 del 23 settembre 2026 il Garante si è espresso favorevolmente, senza osservazioni, sullo schema di decreto che definisce le misure tecniche e organizzative dell’IT-Wallet. La DPIA è stata preparata con PagoPA e IPZS. Chi verifica gli attributi dei cittadini deve chiedere soltanto quelli necessari e documentare la proporzionalità della richiesta. Per le categorie particolari di dati sono previste misure rafforzate. Le richieste degli interessati passano attraverso il registro IT-Wallet gestito da AgID.

Perché è rilevante: Per i Comuni e gli enti che accetteranno l’IT-Wallet come strumento di identificazione o di presentazione di attributi, la regola è di chiedere solo gli attributi necessari e documentare la scelta. Per le imprese che integrano il wallet nei propri servizi, valgono gli stessi criteri.

Azione pratica: Se prevedi di accettare attributi tramite IT-Wallet, elenca per ogni servizio gli attributi realmente necessari, la base giuridica e le misure di sicurezza, e valuta se serve una DPIA propria.

Per leggere l’articolo completo: https://www.garanteprivacy.it/garante/doc.jsp?ID=10302261

• •

26/10/2026 (articolo; posizione del Consiglio UE del 21/10/2026) | Fonte: agendadigitale.eu

Digital Omnibus: la posizione del Consiglio UE e il legittimo interesse per l’IA

#DigitalOmnibus #GDPR #IA #legittimointeresse

Il 21 ottobre il Consiglio dell’Unione europea ha adottato il proprio mandato negoziale sul pacchetto Digital Omnibus. La proposta di nuovo art. 88c riguarda il trattamento di dati personali nello sviluppo e nell’uso di sistemi di IA e contempla il legittimo interesse, fermo il diritto di opposizione. Il distinto art. 88a riguarda invece l’accesso o la memorizzazione di informazioni sui dispositivi terminali, quindi anche cookie e strumenti simili. Il mandato non modifica la definizione di dato personale. È una posizione negoziale del Consiglio: il confronto con Parlamento e Commissione non è concluso e nessuna di queste nuove regole è oggi in vigore.

Perché è rilevante: Il testo può ancora cambiare. Titolari e fornitori di sistemi di IA non devono quindi anticipare regole che non sono state approvate. Per ora le valutazioni sul legittimo interesse restano fondate sul GDPR e sugli orientamenti già applicabili.

Azione pratica: Non cambiare basi giuridiche o informative sulla sola base del mandato del Consiglio. Continua a documentare le valutazioni sul legittimo interesse e riesamina il tema quando sarà disponibile il testo concordato tra le istituzioni europee.

Per leggere l’articolo completo: https://www.agendadigitale.eu/sicurezza/privacy/leuropa-riscrive-le-regole-sullia-ma-la-privacy-resta-senza-garanzie/

• •

29/10/2026 (parere n. 750 del 07/10/2026, newsletter n. 555 del 29/10/2026) | Fonte: garanteprivacy.it

Fascicolo sanitario elettronico: parere sul decreto che consente l’accesso autonomo dai 14 anni

#FSE #minori #sanità #parere

La newsletter n. 555 del 29 ottobre 2026 dà conto del parere n. 750 del 7 ottobre 2026, favorevole, su uno schema di decreto del Ministero della salute sul fascicolo sanitario elettronico. Dai quattordici anni il minore potrà accedere in autonomia, con identità digitale, ai dati sanitari relativi alle prestazioni che può richiedere senza il consenso dei genitori; genitori e delegati restano esclusi da quella parte del fascicolo. Il decreto regola anche l’accesso dei medici di medicina generale e dei pediatri nelle Case della comunità.

Perché è rilevante: Per le aziende sanitarie, le Regioni e i fornitori del FSE, l’accesso autonomo dei minori richiede di distinguere nel sistema le prestazioni «riservate» e di impostare i profili di accesso di genitori e delegati. Il parere è su uno schema di decreto, non sul testo definitivo.

Azione pratica: Chiedi al fornitore del FSE come saranno separati i dati accessibili solo al minore e come saranno gestiti i profili dei genitori; verifica informative e processi di autenticazione una volta pubblicato il decreto.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10313206

• •

30/10/2026 (articolo; determinazione ACN n. 314287/2026) | Fonte: cybersecurity360.it

NIS2: nuova determinazione ACN sulla registrazione, dal 31 ottobre non si accettano più dichiarazioni tardive

#NIS2 #ACN #registrazione #soggetti

La determinazione ACN n. 314287/2026 aggiorna le procedure per la registrazione e l’aggiornamento dell’elenco dei soggetti NIS. Chi è già nell’elenco e non ha variazioni non deve presentare di nuovo la dichiarazione annuale: riceverà una comunicazione di permanenza. La finestra di registrazione 2027 va dal 1° gennaio al 28 febbraio; l’aggiornamento annuale dal 15 aprile al 31 maggio; la categorizzazione di attività e servizi dal 1° maggio al 30 giugno. Le variazioni vanno comunicate entro quattordici giorni e i soggetti individuati d’ufficio devono registrarsi entro trenta giorni dalla notifica. Dal 31 ottobre 2026 non sono più accettate dichiarazioni tardive.

Perché è rilevante: La procedura riguarda soltanto le organizzazioni che rientrano nel perimetro NIS. Chi è già registrato deve soprattutto controllare che dati, attività e assetto societario siano aggiornati; chi entra per la prima volta deve prepararsi alla finestra del 2027.

Azione pratica: Verifica se la tua organizzazione rientra nel perimetro NIS2 e se risulta registrata. Se sono cambiate attività o struttura societaria, prepara la comunicazione entro quattordici giorni. Inserisci in agenda le finestre di gennaio-febbraio e aprile-maggio 2027.

Per leggere l’articolo completo: https://www.cybersecurity360.it/news/registrazione-nis2-il-31-ottobre-chiude-il-canale-per-i-ritardatari/

• •

EDPB e strumenti operativi per il DPO

08/10/2026 (notizia EDPB) | Fonte: edpb.europa.eu

Autorità olandese: Uber sanzionata per 824.990.000 euro per decisioni automatizzate

#decisioniautomatizzate #art22 #gigeconomy #sanzioni

L’autorità olandese per la protezione dei dati ha adottato il 21 agosto 2026 una decisione contro Uber, resa nota anche dall’EDPB l’8 ottobre, con una sanzione di 824.990.000 euro. Le contestazioni riguardano la disattivazione automatizzata degli account dei conducenti per sospetta frode o valutazioni basse e informazioni insufficienti sulla logica delle decisioni e sulla profilazione. Il procedimento nasce dai reclami di 171 conducenti francesi, trasmessi attraverso la CNIL e trattati con il meccanismo dello sportello unico. L’autorità riferisce che Uber ha interrotto le pratiche contestate; la società ha impugnato la decisione.

Perché è rilevante: Il caso interessa chi usa algoritmi per ammettere, sospendere o escludere persone da un servizio o da un rapporto di lavoro. L’intervento umano deve essere reale, non solo formale, e l’informativa deve spiegare in modo comprensibile il funzionamento della decisione.

Azione pratica: Censisci le procedure che producono effetti rilevanti sulle persone con un forte grado di automazione, verifica la presenza di un intervento umano effettivo, l’informativa sulla logica utilizzata e un canale per contestare la decisione.

Per leggere l’articolo completo: https://www.edpb.europa.eu/news/dutch-dpa-fines-uber-eur-824-990-000-for-unlawful-automated-decision-making-and-insufficient_en

• •

13/10/2026 (plenaria del 13-14/10/2026) | Fonte: edpb.europa.eu

EDPB: dichiarazione preliminare 1/2026 sugli occhiali intelligenti

#EDPB #smartglasses #videoriprese #privacybydesign

Nella plenaria del 13 e 14 ottobre 2026 l’EDPB ha adottato la dichiarazione preliminare 1/2026 sulle sfide poste dagli occhiali intelligenti. L’uso strettamente personale può rientrare nell’esenzione domestica; se invece le registrazioni sono pubblicate o usate per attività professionali, ufficiali o politiche, chi le effettua può diventare titolare del trattamento. Produttori e fornitori delle applicazioni collegate restano responsabili dei propri trattamenti. L’EDPB indica misure concrete: segnali visibili o sonori di registrazione, limitazione della registrazione continua e della conservazione, sfocatura dei volti, pseudonimizzazione e restrizioni geografiche. I rischi sono maggiori in ospedali, scuole, spogliatoi e luoghi di lavoro.

Perché è rilevante: I dispositivi con telecamera indossabili arrivano nei luoghi di lavoro prima delle regole interne: ospedali, scuole, enti e imprese devono decidere se ammetterli. La dichiarazione fornisce criteri per valutare ruoli e rischi, ma non è ancora una linea guida definitiva.

Azione pratica: Prevedi nel regolamento interno e nelle policy un divieto o una disciplina d’uso dei dispositivi di ripresa indossabili in aree sensibili (reparti, aule, spogliatoi, uffici con dati riservati) e comunica le regole a personale e visitatori.

Per leggere l’articolo completo: https://www.edpb.europa.eu/news/edpb-publishes-statement-on-the-data-protection-challenges-of-smart-glasses_en

• •

13/10/2026 (plenaria del 13-14/10/2026) | Fonte: edpb.europa.eu

EDPB: pareri sulle norme vincolanti d’impresa (BCR) di Michelin, Snowflake e HCL Tech

#BCR #trasferimentiextraUE #EDPB #gruppiimprenditoriali

Nella plenaria di ottobre l’EDPB ha adottato cinque pareri sulle norme vincolanti d’impresa (BCR). Il parere 24/2026 riguarda le BCR titolare di Michelin. I pareri 25/2026 e 26/2026 riguardano le BCR titolare e responsabile di Snowflake; i pareri 27/2026 e 28/2026 quelle di HCL Tech. Le BCR possono offrire una garanzia per i trasferimenti di dati tra società dello stesso gruppo verso Paesi extra-UE. Il parere dell’EDPB precede la decisione finale dell’autorità capofila: prima di richiamare una BCR in un contratto bisogna quindi verificarne lo stato di approvazione.

Perché è rilevante: Le BCR possono essere uno degli strumenti usati dai fornitori cloud e digitali per i trasferimenti all’interno del gruppo. Non sostituiscono però il controllo sul singolo servizio, sui dati trasferiti e sullo stato effettivo dell’approvazione.

Azione pratica: Nel registro dei fornitori indica lo strumento di trasferimento extra-UE per ciascuno (decisione di adeguatezza, clausole contrattuali standard, BCR) e verifica con il fornitore lo stato di approvazione prima di richiamarlo nei contratti.

Per leggere l’articolo completo: https://www.edpb.europa.eu/documents/opinion-of-the-board-art-64/opinion-242026-on-the-draft-decision-of-the-french_en

• •

16/10/2026 (notizia EDPB; decisione del 02/10/2026) | Fonte: edpb.europa.eu

Autorità norvegese: 8,6 milioni di euro a Xandr per l’uso dei dati di Grindr nelle aste pubblicitarie online

#pubblicitàonline #consenso #contitolarità #datiparticolari

Il 16 ottobre l’EDPB ha pubblicato una sintesi della decisione del 2 ottobre con cui l’autorità norvegese ha sanzionato Xandr, società del gruppo Microsoft, per 8,6 milioni di euro. Il caso riguarda le aste pubblicitarie online in tempo reale. Venivano usati identificativo pubblicitario, indirizzo IP e informazioni sull’uso di Grindr, dalle quali può essere dedotto l’orientamento sessuale. Xandr è stata considerata contitolare. Il consenso raccolto a monte non è stato ritenuto valido e, per i dati particolari, sarebbe servito un consenso esplicito. Il punto centrale è semplice: ogni contitolare deve verificare la validità del consenso su cui fonda il proprio trattamento.

Perché è rilevante: Il caso riguarda chi compra o vende pubblicità online, inserisce componenti di terzi nelle app o condivide dati con partner commerciali. Una clausola nel contratto non basta: chi usa i dati deve poter dimostrare che il consenso sia valido.

Azione pratica: Chiedi ai partner pubblicitari e ai fornitori di SDK la prova del consenso (testo, momento, finalità, elenco dei destinatari) e verifica nelle app e nei siti dell’ente o dell’azienda quali SDK trasmettono identificativi a terzi.

Per leggere l’articolo completo: https://www.edpb.europa.eu/news/norwegian-dpa-fines-xandr-eur-8-600-000-for-unlawful-processing-of-personal-data_en

• •

29/10/2026 (pubblicazione; delibera SAN-2026-015 del 22/10/2026) | Fonte: cnil.fr

CNIL: 7 milioni di euro a Fnac per tracker nell’app mobile attivo senza consenso

#CNIL #cookie #tracker #consenso

La CNIL ha pubblicato il 29 ottobre la delibera SAN-2026-015 del 22 ottobre, con cui ha sanzionato Fnac Darty Participations et Services per 6 milioni di euro e Fnac Direct per 1 milione. Le due società erano contitolari dell’app mobile. Un tracker leggeva e scriveva informazioni sul dispositivo anche dopo la scelta «Continuer sans accepter», per personalizzare i prodotti e alimentare l’algoritmo di raccomandazione. Le finalità commerciali non rientrano nelle esenzioni dal consenso. La CNIL ha applicato l’art. 82 della legge francese Informatique et Libertés, che recepisce l’art. 5, par. 3, della direttiva ePrivacy, e ha ordinato alle società di dimostrare la conformità entro un mese, con una penale di 10.000 euro per ogni giorno di ritardo.

Perché è rilevante: Vale per qualunque titolare con un sito o un’app che usa tracker: il rifiuto dell’utente deve essere effettivo anche per gli strumenti tecnici dell’app, e uno strumento con più finalità segue la regola più restrittiva. In Italia l’art. 122 del Codice recepisce la stessa direttiva.

Azione pratica: Verifica nell’app e nel sito che, dopo il rifiuto, nessun tracker o identificatore sia letto o scritto; separa le finalità tecniche da quelle di personalizzazione e testa il comportamento con strumenti di analisi del traffico.

Per leggere l’articolo completo: https://www.cnil.fr/fr/sanction-cookies-app-fnac

• •

AI Act e uso conforme dell’AI

07/10/2026 | Fonte: agendadigitale.eu

Agenti di IA: la DPIA non basta, la privacy si decide nell’architettura

#agentiIA #DPIA #privacybydesign #EDPB

Il 10 marzo 2026 l’EDPB ha adottato per la consultazione pubblica un modello armonizzato di DPIA; la consultazione si è svolta dal 14 aprile al 9 giugno. Il modello non è ancora definitivo. Nell’articolo del 7 ottobre Salvatore Migneco lo applica a un sistema composto da agenti di IA, cioè strumenti capaci di pianificare ed eseguire compiti collegandosi a servizi e dati diversi. Il punto più utile è che la DPIA non può essere compilata alla fine: le scelte decisive nascono nell’architettura, quando si stabiliscono memoria, dati accessibili, azioni consentite e controlli umani.

Perché è rilevante: Gli agenti di IA entrano negli uffici attraverso assistenti e automazioni che accedono a email, calendari e documenti. Il rischio è che l’accesso sia ampio quanto quello dell’utente e che nessuno abbia valutato il trattamento. Per Comuni e imprese conta stabilire prima quali dati l’agente può vedere.

Azione pratica: Prima di attivare un agente di IA, scrivi quali sistemi e dati può raggiungere, che cosa conserva in memoria e quali azioni può compiere. Stabilisci i passaggi che richiedono una conferma umana. Inserisci queste scelte nella DPIA e prova che i limiti di accesso funzionino davvero.

Per leggere l’articolo completo: https://www.agendadigitale.eu/sicurezza/privacy/agenti-ai-la-dpia-non-basta-la-privacy-si-decide-nellarchitettura/

• •

20/10/2026 (scheda; d.lgs. 7 ottobre 2026, n. 179, GU n. 234 del 08/10/2026) | Fonte: sistemapenale.it

D.lgs. n. 179/2026: l’AI Act in Italia, autorità, sanzioni, lavoro e formazione

#AIAct #ACN #AgID #sanzioni

Il d.lgs. 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale dell’8 ottobre ed entrato in vigore il 23 ottobre, definisce autorità nazionali, poteri e sanzioni per l’attuazione dell’AI Act. Le autorità principali sono ACN e AgID, con competenze settoriali per Banca d’Italia, CONSOB, IVASS e Garante per la protezione dei dati. L’art. 23 prevede, a seconda della violazione, massimi fino a 35 milioni di euro o al 7% del fatturato mondiale, 15 milioni o 3%, 7,5 milioni o 1% e, per specifiche violazioni, 1 milione o 0,5%. L’art. 42 inserisce la valutazione dei sistemi di IA che incidono sull’organizzazione del lavoro nella valutazione dei rischi prevista dal d.lgs. n. 81/2008. Il decreto prevede inoltre percorsi di alfabetizzazione in IA per studenti, docenti, professionisti, pubbliche amministrazioni e magistrati.

Perché è rilevante: Il decreto rende operativo in Italia il sistema di vigilanza e sanzioni dell’AI Act. Per i datori di lavoro, pubblici e privati, l’uso dell’IA nell’organizzazione del lavoro entra anche nella valutazione dei rischi. Per le PA diventa centrale la formazione del personale.

Azione pratica: Elenca i sistemi di IA in uso e indica, per ciascuno, se l’organizzazione opera come fornitore o utilizzatore. Per i sistemi che incidono sul lavoro, valuta con datore di lavoro e responsabile della sicurezza l’aggiornamento del documento di valutazione dei rischi. Programma inoltre la formazione del personale.

Per leggere l’articolo completo: https://www.sistemapenale.it/it/notizie/intelligenza-artificiale-pubblicati-in-gazzetta-ufficiale-i-decreti-attuativi-dlgs-160-2026-179-2026

• •

27/10/2026 | Fonte: agendadigitale.eu

AI Act per la PA: checklist operativa per i Comuni

#AIAct #Comuni #formazione #IAnellaPA

L’articolo del 27 ottobre parte da una situazione già comune: dipendenti comunali che usano strumenti di IA generalista senza regole, anche per documenti che possono contenere dati sociali o sanitari. Il Regolamento (UE) 2026/1744 ha spostato alcune scadenze dell’AI Act per i sistemi ad alto rischio, ma non ha rinviato gli obblighi già applicabili in materia di protezione dei dati, sicurezza e controllo umano. Per i Comuni le priorità sono quindi censire gli strumenti in uso, stabilire quali servizi sono autorizzati, formare il personale e impedire che dati personali siano caricati su piattaforme non approvate.

Perché è rilevante: Il rischio più immediato non è un adempimento futuro, ma l’uso quotidiano e non governato di strumenti generalisti. Un rinvio delle scadenze dell’AI Act non sospende la responsabilità del titolare prevista dal GDPR.

Azione pratica: Adotta una direttiva interna con strumenti consentiti, divieto di inserire dati personali in servizi non autorizzati e obbligo di controllo umano degli atti. Censisci gli usi già in corso e organizza una formazione di base per i dipendenti.

Per leggere l’articolo completo: https://www.agendadigitale.eu/cittadinanza-digitale/ai-act-per-la-pa-checklist-operativa-per-i-comuni/

• •

29/10/2026 (parere n. 760 del 07/10/2026, newsletter n. 555 del 29/10/2026) | Fonte: garanteprivacy.it

Regolamento sull’IA della Provincia di Trento: parere favorevole con condizioni del Garante

#IAnellaPA #parere #cancellazione #basegiuridica

Con il parere n. 760 del 7 ottobre 2026 il Garante ha esaminato lo schema di regolamento della Provincia autonoma di Trento sull’uso dell’IA nella pubblica amministrazione. Il parere è favorevole, ma pone condizioni precise. Gli elementi essenziali dei trattamenti devono poggiare su fonti normative adeguate. Inoltre, rettifica e cancellazione devono essere garantite anche quando i dati sono stati usati per addestrare un modello. Si tratta di un parere su uno schema di regolamento, non di una disciplina già in vigore.

Perché è rilevante: Il parere offre un criterio valido per tutti gli enti. Un regolamento interno non può creare da solo la base giuridica di un trattamento. Inoltre, rettifica e cancellazione devono restare possibili anche quando i dati sono stati usati per addestrare un modello.

Azione pratica: Per ogni trattamento previsto da un regolamento sull’IA, indica la norma che lo consente. Chiedi ai fornitori come gestiscono rettifica e cancellazione nei modelli e definisci un punto di contatto per gli interessati.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10313206

• •

Giurisprudenza

08/10/2026 (conclusioni; commento del 16/10/2026) | Fonte: dirittobancario.it

Corte di giustizia, causa C-222/25: conclusioni sulle unità di informazione finanziaria e sul diritto di accesso

#CGUE #direttiva2016/680 #dirittodiaccesso #antiriciclaggio

Il 16 ottobre Diritto Bancario ha commentato le conclusioni presentate l’8 ottobre dall’Avvocata generale Laila Medina nella causa C-222/25. Non è una sentenza e la Corte non è vincolata a seguirle. Secondo le conclusioni, il trattamento svolto da un’unità di informazione finanziaria per prevenire riciclaggio e finanziamento del terrorismo rientra nella direttiva (UE) 2016/680, non nel GDPR. Una legge nazionale non può però negare in modo assoluto l’accesso ai dati fino alla loro distruzione senza regole chiare e garanzie contro gli abusi. La UIF può limitare le informazioni fornite, ma deve indicare la possibilità di rivolgersi all’autorità di controllo.

Perché è rilevante: Il caso interessa soprattutto banche e intermediari, ma ricorda a ogni ente che il regime applicabile dipende dal ruolo dell’autorità che tratta i dati. Le limitazioni ai diritti devono poggiare su regole chiare. La Corte non ha ancora pronunciato la sentenza.

Azione pratica: Distingui nel registro dei trattamenti quelli svolti per obblighi antiriciclaggio o su richiesta di autorità e il regime di gestione delle richieste di accesso; attendi la sentenza prima di modificare le procedure.

Per leggere l’articolo completo: https://www.dirittobancario.it/art/qualificazione-delle-uif-diritto-di-accesso-e-tutela-dei-dati/

• •

22/10/2026 (commento; TAR Lazio, Sez. I, sent. n. 14477 del 31/08/2026) | Fonte: altalex.com

TAR Lazio: il nome dell’agente accertatore non si nega per generica privacy

#accessoagliatti #TAR #riservatezza #dirittodifesa

Altalex ha commentato il 22 ottobre la sentenza del TAR Lazio n. 14477 del 31 agosto 2026. Il giudice ha accolto la richiesta di un cittadino che chiedeva i nomi degli agenti accertatori indicati in un verbale, necessari per contestarlo e proporre querela di falso. Il TAR richiama il Consiglio di Stato, sentenza n. 2530/2022: la semplice riservatezza dell’agente non basta a escludere l’accesso quando l’identità serve per esercitare il diritto di difesa. La domanda di risarcimento è stata invece respinta perché il danno era stato descritto in modo generico.

Perché è rilevante: Per Comuni, polizie locali e uffici che gestiscono verbali e atti, il richiamo generico alla privacy non basta per negare l’accesso quando serve alla difesa: occorre una motivazione concreta e un bilanciamento. La sentenza è di agosto: si richiama come commento di ottobre.

Azione pratica: Aggiorna il modello di risposta alle istanze di accesso: se rifiuti di indicare i nomi dei dipendenti, motiva il bilanciamento concreto; in caso di accesso difensivo, valuta di comunicare l’identità limitatamente a quanto necessario.

Per leggere l’articolo completo: https://www.altalex.com/documents/news/2026/10/22/accesso-difensivo-privacy-accertatori-tar-chiarisce-limiti-riservatezza

• •

30/10/2026 | Fonte: cybersecurity360.it

GDPR, otto anni di enforcement hanno cambiato le regole della protezione dei dati

#GDPR #enforcement #giurisprudenza #commento

L’articolo del 30 ottobre ripercorre otto anni di applicazione del GDPR e osserva che i controlli non passano più soltanto dalle autorità privacy. Possono entrare in gioco anche giudici civili, autorità per la concorrenza e, sui profili di sicurezza, autorità nazionali come l’ACN. Il commento richiama casi noti, tra cui Planet49, Schrems II e SCHUFA, per mostrare come la giurisprudenza abbia precisato consenso, trasferimenti e decisioni automatizzate. È una lettura d’insieme: per numeri, esiti e conseguenze delle singole decisioni resta necessario consultare le fonti originali.

Perché è rilevante: Per i DPO è una mappa utile delle diverse sedi in cui un trattamento può essere contestato. Aiuta anche a ricordare che protezione dei dati, tutela del consumatore, concorrenza e sicurezza possono sovrapporsi, senza però sostituire la lettura dei singoli provvedimenti.

Azione pratica: Per i casi che incidono davvero sulla tua organizzazione, aggiungi alla raccolta interna il testo originale della decisione e una breve nota sugli effetti operativi. Evita di usare un articolo di commento come unica base per cambiare procedure o informative.

Per leggere l’articolo completo: https://www.cybersecurity360.it/legal/privacy-dati-personali/gdpr-otto-anni-di-enforcement-hanno-cambiato-le-regole-della-protezione-dei-dati/

• •

30/10/2026 (commento; sentenza CGUE del 21/05/2026) | Fonte: agendadigitale.eu

Registro dei titolari effettivi: cosa cambia con la sentenza della Corte di giustizia

#CGUE #titolarieffettivi #antiriciclaggio #accesso

L’articolo di Agenda Digitale del 30 ottobre commenta una sentenza della Corte di giustizia del 21 maggio 2026. Si tratta delle cause riunite C-684/24 e C-685/24, nate da un rinvio del Consiglio di Stato in una controversia promossa da società fiduciarie. La Corte chiarisce come valutare l’«interesse legittimo» per accedere al Registro dei titolari effettivi. L’accesso non è indiscriminato: occorre un esame selettivo che bilanci trasparenza societaria, prevenzione del riciclaggio e protezione dei dati. Il registro resta comunque uno strumento di supporto per l’adeguata verifica dei soggetti obbligati.

Perché è rilevante: La pronuncia incide su chi può consultare i dati dei titolari effettivi e con quale motivazione. Interessa soprattutto professionisti, intermediari e società coinvolte nelle verifiche antiriciclaggio. La sentenza è di maggio; il commento di ottobre ne ha riportato il tema all’attenzione.

Azione pratica: Se gestisci richieste di accesso al registro o trattamenti collegati, verifica le procedure di valutazione dell’interesse legittimo, e leggi il testo della sentenza prima di modificarle.

Per leggere l’articolo completo: https://www.agendadigitale.eu/procurement/registro-dei-titolari-effettivi-cosa-cambia-con-la-sentenza-della-corte-ue/

• •

Cybersecurity, tecnologie emergenti e segnali

20/10/2026 | Fonte: commission.europa.eu

Mese europeo della cybersicurezza 2026: il tema è il phishing

#phishing #ENISA #consapevolezza #socialengineering

Il 20 ottobre la Commissione europea, insieme a ENISA e agli Stati membri, ha presentato il Mese europeo della cybersicurezza 2026, dedicato al phishing. Il messaggio è pratico: molte intrusioni iniziano ancora da una richiesta ingannevole ricevuta per email, messaggio o telefono. I materiali della campagna richiamano password robuste, backup, impostazioni di privacy e verifica delle richieste prima di agire.

Perché è rilevante: Il phishing resta il punto di ingresso di molti incidenti, anche nella pubblica amministrazione, e la formazione del personale è una misura richiesta anche dalla disciplina NIS. Il mese europeo è l’occasione per un’iniziativa interna a basso costo.

Azione pratica: Organizza una campagna di sensibilizzazione e una simulazione di phishing nel mese, misura quanti dipendenti segnalano il messaggio e ripeti la formazione per chi clicca; verifica che esista un canale semplice per segnalare.

Per leggere l’articolo completo: https://commission.europa.eu/news-and-media/news/click-wisely-promoting-online-safety-during-european-cybersecurity-month-2026-10-20_en

• •

23/10/2026 | Fonte: agendadigitale.eu

La NIS2 porta la cybersicurezza in giunta: cosa cambia per i Comuni

#NIS2 #Comuni #governance #fornitori

L’articolo del 23 ottobre richiama la necessità di portare la cybersicurezza nelle decisioni degli organi di vertice. La legge n. 90/2024 include città metropolitane, Comuni con più di 100.000 abitanti e Comuni capoluogo di regione. Per gli incidenti rilevanti prevede una prima segnalazione entro 24 ore e una comunicazione completa entro 72 ore. La disciplina NIS2 si applica invece solo agli enti che ne soddisfano i criteri. In entrambi i casi sicurezza, continuità operativa e controllo dei fornitori richiedono decisioni, risorse e responsabilità chiare: non possono restare affidati al solo ufficio informatico.

Perché è rilevante: Per gli organi di governo il punto non è svolgere attività tecniche, ma approvare priorità, risorse, responsabilità e criteri per i fornitori. Prima di applicare una scadenza bisogna però verificare se il Comune rientra davvero nel perimetro della norma.

Azione pratica: Porta all’organo di vertice una sintesi con perimetro normativo, misure adottate, fornitori critici, continuità operativa e formazione. Verbalizza le decisioni e verifica che referenti e procedure di notifica siano aggiornati.

Per leggere l’articolo completo: https://www.agendadigitale.eu/sicurezza/la-nis2-porta-la-cybersicurezza-in-giunta-cosa-cambia-per-i-comuni/

• •

27/10/2026 | Fonte: cybersecurity360.it

ACN, rapporto di settembre 2026: eventi cyber a 485, il ransomware pesa sulla continuità dei servizi

#ACN #ransomware #sanità #PA

Il riepilogo operativo dell’ACN per settembre registra 485 eventi cyber, contro 309 in agosto, e 235 incidenti, contro 196. L’Agenzia ha inviato 10.839 comunicazioni preventive a soggetti esposti. L’aumento è legato soprattutto ad attacchi DDoS di gruppi hacktivisti contro pubbliche amministrazioni locali e imprese e a defacement di siti con CMS vulnerabili; in molti casi l’impatto è rimasto limitato. Il ransomware ha invece prodotto gli effetti più gravi sulla continuità dei servizi e ha coinvolto anche due strutture sanitarie. Tra i settori più colpiti figurano tecnologia, sanità e manifatturiero.

Perché è rilevante: I dati mostrano due scenari diversi: molti attacchi visibili ma con impatto contenuto e un numero più limitato di episodi, come il ransomware, capaci di interrompere servizi essenziali. Ogni incidente deve essere valutato anche per capire se comporti una violazione di dati personali.

Azione pratica: Verifica gli aggiornamenti di sicurezza dei dispositivi perimetrali, la disattivazione di account non più utilizzati, l’autenticazione a più fattori sugli accessi remoti e un test di ripristino dei backup; aggiorna il piano di gestione delle violazioni.

Per leggere l’articolo completo: https://www.cybersecurity360.it/nuove-minacce/acn-eventi-cyber-a-57-il-ransomware-pesa-sulla-continuita-dei-servizi/

• •

29/10/2026 | Fonte: cybersecurity360.it

Crittografia post-quantistica: il NIST fissa le scadenze per la migrazione

#crittografia #postquantistica #NIST #conservazione

Il documento finale NIST IR 8547, pubblicato il 27 ottobre, definisce la transizione dagli algoritmi di crittografia a chiave pubblica vulnerabili ai computer quantistici. Gli algoritmi indicati saranno deprecati dopo il 2030 e non più ammessi dopo il 2035 negli standard NIST. È una tabella di marcia per gli standard federali statunitensi, non un obbligo giuridico per enti e imprese italiane. È però un riferimento utile per programmare la migrazione, soprattutto quando i dati devono restare riservati per molti anni.

Perché è rilevante: Dati sanitari, archivi anagrafici e documenti con conservazione lunga potrebbero essere intercettati oggi e decifrati in futuro. La migrazione post-quantistica non è ancora un adempimento generalizzato, ma può entrare nell’analisi del rischio e nei requisiti richiesti ai fornitori.

Azione pratica: Fai l’inventario dei sistemi e dei fornitori che usano crittografia a chiave pubblica, individua i dati con conservazione superiore a dieci anni e chiedi ai fornitori la loro roadmap di migrazione.

Per leggere l’articolo completo: https://www.cybersecurity360.it/quantum-computing/crittografia-post-quantistica-il-nist-fissa-le-scadenze-per-la-migrazione/

• •

31/10/2026 | Fonte: ictsecuritymagazine.com

NIS2: adempimenti e scadenze dopo ottobre 2026

#NIS2 #scadenze #misuredibase #sanzioni

Per i soggetti entrati nell’elenco NIS nel 2026, il referente CSIRT va designato entro il 31 dicembre 2026. Gli obblighi di notifica degli incidenti decorrono dal 1° gennaio 2027. Le misure di sicurezza di base vanno adottate entro il 31 luglio 2027. La determinazione ACN n. 379907/2025 prevede 37 misure e 87 requisiti per i soggetti importanti e 43 misure e 116 requisiti per quelli essenziali. La notifica degli incidenti significativi comprende un preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese. Il d.lgs. n. 138/2024 prevede sanzioni massime fino a 10 milioni di euro o al 2% del fatturato per i soggetti essenziali e fino a 7 milioni o all’1,4% per quelli importanti.

Perché è rilevante: Le scadenze non sono uguali per tutti: dipendono dall’anno di inserimento nell’elenco e dalla qualifica del soggetto. Prima di usare un calendario generico bisogna quindi leggere la comunicazione ricevuta da ACN e identificare i propri termini.

Azione pratica: Recupera la comunicazione ACN e annota le scadenze applicabili alla tua organizzazione. Per ogni misura raccogli policy, registri e prove datate; designa o conferma il referente CSIRT e prova la procedura di notifica con una simulazione.

Per leggere l’articolo completo: https://www.ictsecuritymagazine.com/notizie/nis2-adempimenti/

• •

Approfondimenti metodologici per il DPO

05/10/2026 | Fonte: diritto.it

Controlli del Garante sui DPO degli enti pubblici nel 2026

#DPO #conflittodiinteressi #ispezioni #PA

La delibera del Garante n. 545 del 23 luglio 2026 programma almeno 35 accertamenti nel secondo semestre. Tra gli ambiti di controllo figurano i soggetti che forniscono il servizio di responsabile della protezione dei dati a enti pubblici. Le verifiche riguardano attività svolta, indipendenza e possibili conflitti di interesse, soprattutto quando la stessa organizzazione offre anche servizi informatici. La Corte di giustizia, nella causa C-453/21, ha chiarito che il conflitto va valutato caso per caso e sussiste, in particolare, quando altri incarichi consentono al DPO di determinare finalità o mezzi del trattamento.

Perché è rilevante: Per gli enti il controllo riguarda anche il DPO che hanno nominato: l’ente risponde della scelta e del modo in cui l’incarico è svolto. Per i DPO esterni significa poter dimostrare indipendenza, attività svolta e assenza di conflitti.

Azione pratica: Prepara un fascicolo con atto di nomina, compiti, risorse, relazioni e verbali degli incontri con il vertice. Se il DPO o la sua organizzazione fornisce anche servizi IT, descrivi gli incarichi, le decisioni che può assumere e le misure che impediscono di determinare finalità o mezzi dei trattamenti sottoposti al suo controllo.

Per leggere l’articolo completo: https://www.diritto.it/controlli-del-garante-sui-dpo-enti-pubblici-2026/

• •

21/10/2026 | Fonte: lentepubblica.it

DPO esterno nella PA: il Garante avvia nuovi controlli sulla privacy

#DPO #entilocali #incarichi #responsabilità

L’articolo del 21 ottobre traduce in indicazioni operative il piano ispettivo adottato dal Garante con la delibera n. 545 del 23 luglio 2026, che prevede almeno 35 accertamenti. Per Comuni, Province e ASL il messaggio è chiaro: la nomina di un DPO esterno non trasferisce la responsabilità del titolare. La scelta deve considerare competenza, indipendenza, risorse e capacità di lavorare con il vertice; il prezzo non può essere l’unico criterio.

Perché è rilevante: L’ente deve poter dimostrare non solo di avere nominato un DPO, ma anche di averlo scelto con criteri adeguati, coinvolto per tempo e messo nelle condizioni di svolgere i compiti previsti dal GDPR.

Azione pratica: Rivedi gli atti di affidamento del servizio di DPO: criteri di valutazione, durata, compiti, flussi informativi verso l’organo di vertice; verifica che il DPO sia coinvolto nei progetti con impatto sui dati (IA, videosorveglianza, nuove piattaforme).

Per leggere l’articolo completo: https://lentepubblica.it/pa-digitale/dpo-esterno-pa-garante-privacy/

• •

28/10/2026 | Fonte: cybersecurity360.it

Tracking pixel nelle email: promemoria operativo per titolari e piattaforme

#trackingpixel #email #piattaforme #ruoli

L’articolo di Cybersecurity360 del 28 ottobre 2026 offre un promemoria operativo sulle Linee guida del Garante (provv. n. 284 del 17 aprile 2026, pubblicato nella Gazzetta Ufficiale n. 98 del 29 aprile 2026). Le fasi indicate sono: mappare i pixel per tipologia di messaggio, individuare la base giuridica per ciascun flusso, aggiornare le informative, rendere operativa la revoca granulare, definire ruoli e contratti con piattaforme e fornitori. Ricorda inoltre le ispezioni condotte dal Garante il 6-8 ottobre 2025 e il 9-11 febbraio 2026 e il piano ispettivo del secondo semestre.

Perché è rilevante: Il passaggio dalle regole all’applicazione richiede di conoscere i flussi reali: molte organizzazioni non sanno quanti messaggi contengano pixel e chi li inserisce. L’articolo organizza il lavoro per titolari e fornitori in passaggi verificabili.

Azione pratica: Usa i cinque passaggi come scheda di lavoro: tabella dei flussi di posta, base giuridica, informativa, meccanismo di revoca, contratto con il fornitore; conserva la tabella aggiornata come prova di conformità.

Per leggere l’articolo completo: https://www.cybersecurity360.it/legal/privacy-dati-personali/tracking-pixel-nelle-e-mail-promemoria-operativo-per-titolari-e-piattaforme/

• •

29/10/2026 | Fonte: agendadigitale.eu

Pixel nelle email: come adeguarsi ed evitare sanzioni privacy

#trackingpixel #consenso #sanzioni #compliance

Cirotti e Olivi firmano l’articolo «Pixel nelle email: finisce il periodo transitorio, cosa cambia», pubblicato il 29 ottobre. In quella data è terminata la finestra di sei mesi prevista dalle Linee guida del Garante del 17 aprile 2026. Gli autori distinguono i casi in cui serve il consenso da quelli strettamente necessari o esenti, spiegano come rendere effettiva la revoca e richiamano la responsabilità dell’intera catena: titolare, piattaforma di invio e altri fornitori.

Perché è rilevante: Il commento offre indicazioni utili per il confronto tra privacy, marketing e fornitori. Aiuta a distinguere i messaggi di servizio dai casi in cui il tracciamento richiede il consenso.

Azione pratica: Prepara per marketing e fornitori una tabella con i casi in cui il pixel è strettamente necessario e quelli in cui serve il consenso. Chiedi al fornitore una conferma scritta sulle modalità con cui la piattaforma applica consenso, rifiuto e revoca.

Per leggere l’articolo completo: https://www.agendadigitale.eu/sicurezza/privacy/pixel-nelle-email-finisce-il-periodo-transitorio-cosa-cambia/

COSA FARE QUESTO MESE: INDICAZIONI PRATICHE

Una sintesi operativa, in linguaggio semplice, delle azioni concrete suggerite dai provvedimenti e dai segnali del mese.

Banche dati e anonimizzazione (sanità, studi medici, fornitori di cartelle cliniche, ricerca e statistica): prima di definire un dataset «anonimo», controlla se restano codici persistenti, testo libero o altri elementi che permettono di risalire alle persone. Ricostruisci chi decide finalità e mezzi in ogni fase, documenta la base giuridica e valuta se serve una DPIA. Il caso IQVIA mostra che un fornitore può essere considerato titolare quando usa i dati per finalità proprie.
Pubblicazione di elenchi, graduatorie e atti (Comuni, enti pubblici, università, fondazioni): prima di pubblicare, individua la norma che lo consente e limita i dati allo stretto necessario. Controlla colonne nascoste, metadati e fogli secondari. Stabilisci anche una data di rimozione e verifica che venga rispettata.
Ordini del giorno e atti collegiali (enti pubblici, università, società partecipate): evita nomi e numeri di ruolo di cause che riguardano singole persone, salvo che siano indispensabili. Prepara una versione riservata e una pubblicabile. Controlla destinatari, indicizzazione e durata della pubblicazione.
Videosorveglianza comunale (Comuni, Unioni, polizie locali, partecipate): censisci ogni telecamera e indica finalità, base giuridica, angolo di ripresa e conservazione. Maschera abitazioni, balconi e finestre non necessari. Controlla cartelli e collegamenti all’informativa. Aggiorna la DPIA se è generica o non descrive più il sistema reale.
Tracking pixel nelle email (newsletter, campagne e comunicazioni misurate): il periodo di adeguamento è terminato il 29 ottobre. Mappa i messaggi che contengono pixel e verifica quando serve il consenso. Aggiorna l’informativa, rendi possibile la revoca del solo tracciamento e controlla i contratti con la piattaforma di invio.
Ruoli privacy nelle filiere (banche, intermediari, partner commerciali): verifica chi decide finalità e mezzi. Il nome usato nel contratto non vincola il Garante. Informative e accordi devono descrivere i ruoli che le parti svolgono davvero.
Sistemi di informazioni creditizie (banche, finanziarie e soggetti che segnalano ritardi): verifica preavviso al consumatore, tempi di conservazione e canali per esercitare i diritti. Le FAQ del Garante del 23 ottobre riassumono le regole applicabili.
Telemarketing e contatti commerciali (imprese, call center e committenti): controlla l’origine delle liste e la prova dei consensi. Consulta il Registro pubblico delle opposizioni quando necessario e registra ogni opposizione su tutti i canali. Nei primi sette mesi del 2026 il Garante ha ricevuto oltre 37.000 segnalazioni.
Cookie, tracker e consenso (siti e app): verifica che ogni finalità abbia una base valida e che il rifiuto blocchi davvero gli strumenti non necessari. Se più soggetti decidono insieme il trattamento, ciascuno deve verificare la validità del consenso raccolto a monte.
Decisioni automatizzate (piattaforme, servizi e datori di lavoro): individua le procedure che disattivano account, escludono persone o assegnano punteggi in modo automatico. Spiega la logica in modo comprensibile, garantisci un intervento umano effettivo e consenti di contestare l’esito.
Occhiali intelligenti e dispositivi con telecamera (aziende, ospedali, scuole, enti): stabilisci le regole prima che il personale inizi a usarli. Valuta un divieto o limiti specifici in reparti, aule, spogliatoi e luoghi di lavoro.
IA nella PA e nelle imprese: censisci gli strumenti già usati negli uffici e definisci servizi consentiti, dati che non possono essere caricati e controlli umani. Per i sistemi che incidono sul lavoro valuta l’art. 42 del d.lgs. n. 179/2026. Nei sistemi agentici integra la DPIA nella progettazione.
NIS2 – registrazione e misure di base (soggetti essenziali e importanti): verifica prima di tutto se l’organizzazione rientra nel perimetro. Per il 2027 la finestra di registrazione va dal 1° gennaio al 28 febbraio. Chi è già nell’elenco deve controllare variazioni e scadenze indicate nella comunicazione ACN.
DPO esterni e incarichi (enti pubblici): prepara un fascicolo con nomina, compiti, risorse, relazioni e verbali. Valuta i conflitti di interesse e documenta il lavoro svolto. Competenza e indipendenza devono pesare nella scelta, non soltanto il prezzo.
Crittografia e conservazione di lungo periodo (sanità, anagrafe, archivi): inserisci nell’analisi del rischio il tema della migrazione verso la crittografia post-quantistica per i dati che devono restare riservati per molti anni. Non è un obbligo generalizzato, ma gli standard internazionali indicano già un orizzonte di transizione.
Phishing e manipolazione delle persone (tutte le organizzazioni): organizza una simulazione e ricorda una regola semplice. Nessuna modifica di credenziali, coordinate di pagamento o dati deve basarsi su una sola richiesta; serve una verifica attraverso un canale indipendente.
Minori e comunicazione (scuole, enti, media e organizzazioni): evita dettagli che, combinati tra loro, rendano il minore riconoscibile, come età, scuola e quartiere. Sfocare parzialmente il volto può non bastare. Prevedi un controllo editoriale prima della pubblicazione.

SCADENZE NORMATIVE IN ARRIVO

Le prossime pagine raccolgono le principali scadenze su protezione dei dati, cybersecurity e intelligenza artificiale. Per ogni termine indichiamo chi è realmente interessato, così da evitare allarmi per chi resta fuori dal perimetro. Le scadenze più vicine sono riportate per prime; seguono quelle utili per la programmazione.

In evidenza: scadenze imminenti (prossimi mesi)

▶ 13/11/2026 – EDPB – consultazione sulle sanzioni e gli altri poteri correttivi

Chi è tenuto: Aperta a tutti: titolari, responsabili, DPO, associazioni di categoria ed enti pubblici. Nessun obbligo di partecipazione.
Termine (ore 23:59 CET) per inviare commenti sulle Linee guida 04/2026 sull’applicazione del potere di infliggere sanzioni amministrative pecuniarie in rapporto agli altri poteri correttivi previsti dal GDPR, in consultazione dal 21 settembre 2026. Il documento riguarda il modo in cui le autorità scelgono tra sanzione e altre misure (ammonimento, ingiunzione, limitazione del trattamento): utile da leggere per capire come verranno valutate le violazioni.

▶ 02/12/2026 – AI Act – marcatura dei contenuti sintetici e nuovi divieti

Chi è tenuto: Marcatura: fornitori di sistemi di IA, anche per finalità generali, che generano audio, immagini, video o testi sintetici e li hanno immessi sul mercato PRIMA del 2 agosto 2026. Divieti: chiunque immetta sul mercato, metta in servizio o USI sistemi di IA che generano o manipolano immagini intime realistiche di persone riconoscibili senza il loro consenso o materiale pedopornografico; riguarda quindi anche gli utilizzatori, PA comprese.
Il Regolamento (UE) 2026/1744 prevede che i sistemi generativi immessi sul mercato prima del 2 agosto 2026 si adeguino all’obbligo di marcatura leggibile dalle macchine previsto dall’art. 50, par. 2. Dalla stessa data si applicano anche i nuovi divieti dell’art. 5, par. 1, lettere b bis) e b ter). Per chi immette un sistema sul mercato o lo mette in servizio, il divieto opera quando la generazione di quei contenuti è una finalità prevista o un risultato ragionevolmente prevedibile senza misure di sicurezza adeguate.

▶ 09/12/2026 – Responsabilità per danno da prodotti difettosi (anche software)

Chi è tenuto: Fabbricanti, importatori e altri operatori economici di prodotti, compreso il software e i servizi digitali correlati; rilevante per le software house e i fornitori di soluzioni digitali e IA. Gli enti pubblici sono interessati come acquirenti e utilizzatori.
Scade il termine di recepimento della Direttiva (UE) 2024/2853, che dalla stessa data sostituisce la direttiva 85/374/CEE. La nuova disciplina considera espressamente il software un prodotto e si applica ai prodotti immessi sul mercato o messi in servizio dopo il 9 dicembre 2026; per quelli precedenti continua a valere la vecchia direttiva. Al 2 novembre 2026, EUR-Lex non riporta misure nazionali di recepimento comunicate dall’Italia.

▶ 31/12/2026 – NIS2 – nuovi soggetti inseriti nel 2026: referente CSIRT

Chi è tenuto: Solo i soggetti inseriti per la PRIMA VOLTA nell’elenco NIS nel corso del 2026 (compresi quelli entrati con l’aggiornamento dell’elenco comunicato dall’ACN il 18 settembre 2026). Non riguarda i soggetti del primo ciclo 2025.
Per i nuovi soggetti l’obbligo di notifica degli incidenti significativi di base decorre dal 1° gennaio 2027 (art. 1, c. 2, Determinazione ACN n. 127434 del 13 aprile 2026); per questo l’ACN indica la necessità di designare il referente CSIRT entro la fine del 2026. Il termine per le misure di sicurezza di base è il 31 luglio 2027.

▶ 12/01/2027 – Data Act – azzeramento delle tariffe di passaggio cloud

Chi è tenuto: Fornitori di servizi di trattamento dei dati (cloud ed edge). Interessa enti e imprese clienti che vogliono cambiare fornitore o rinegoziare i contratti.
Dal 12 gennaio 2027 i fornitori di servizi di trattamento dei dati non possono più imporre al cliente tariffe di passaggio per il trasferimento ad altro fornitore (art. 29, par. 1, Regolamento (UE) 2023/2854). Fino a quella data sono ammesse solo tariffe ridotte, non superiori ai costi direttamente connessi al passaggio (art. 29, par. 2 e 3). Occasione utile per rivedere le clausole di uscita dei contratti cloud.

▶ 28/02/2027 – NIS2 – finestra annuale di registrazione

Chi è tenuto: Soggetti pubblici e privati a cui si applica la disciplina NIS: nuova registrazione per chi rientra per la prima volta nel perimetro, aggiornamento per chi è già registrato.
Dal 1° gennaio al 28 febbraio 2027 si svolge sulla piattaforma ACN la registrazione o l’aggiornamento dei soggetti NIS, secondo la determinazione ACN n. 314287/2026. I soggetti già presenti nell’elenco e senza variazioni non devono ripetere la dichiarazione annuale e ricevono una comunicazione di permanenza. Dal 31 ottobre 2026 non sono più accettate dichiarazioni tardive. Prima dell’apertura della finestra è utile controllare attività, dimensioni e variazioni societarie.

▶ 26/03/2027 – Spazio europeo dei dati sanitari (EHDS)

Chi è tenuto: In questa fase soprattutto Stati membri e autorità nazionali, chiamati a predisporre la governance. Strutture sanitarie, ASL e fabbricanti di sistemi di cartella clinica elettronica hanno obblighi operativi dal 2029 e dal 2031.
Diventa applicabile il Regolamento (UE) 2025/327 sullo spazio europeo dei dati sanitari. Le regole sull’uso primario dei dati (artt. 3-15) e sul riuso per ricerca e politiche pubbliche (capo IV) si applicano invece per fasi: dal 26 marzo 2029 per le prime categorie prioritarie di dati (art. 14, par. 1, lett. a-c) e per il capo IV, dal 26 marzo 2031 per le altre categorie (art. 105).

▶ 31/03/2027 – Accessibilità – obiettivi annuali della PA

Chi è tenuto: Tutte le pubbliche amministrazioni, tramite il Responsabile per la transizione al digitale. Non riguarda le imprese private.
Termine annuale per pubblicare gli obiettivi di accessibilità previsti dal d.l. n. 179/2012 e dalle Linee guida AgID sull’accessibilità degli strumenti informatici, con la piattaforma AgID Form (form.agid.gov.it). Gli obiettivi riguardano siti, app, intranet, documenti pubblicati, postazioni di lavoro e formazione del personale, insieme allo stato di attuazione del piano per il telelavoro.

▶ 15/04/2027 – NIS2 – aggiornamento annuale e categorizzazione di attività e servizi

Chi è tenuto: Soggetti pubblici e privati già inseriti nell’elenco NIS (essenziali e importanti), per aggiornare le informazioni; non riguarda chi è fuori dal perimetro.
La determinazione ACN n. 314287/2026 prevede l’aggiornamento annuale delle informazioni dal 15 aprile al 31 maggio e la categorizzazione di attività e servizi dal 1° maggio al 30 giugno. Le variazioni vanno comunicate entro quattordici giorni.

Orizzonte successivo

31/07/2027 – NIS2 – misure di base per i soggetti inseriti nel 2026

Chi è tenuto: Solo i soggetti inseriti per la prima volta nell’elenco NIS nel 2026.
Termine fisso per adottare le misure di sicurezza di base degli Allegati 1 e 2 della Determinazione ACN n. 379907/2025 (art. 1, c. 1, Determinazione ACN n. 127434 del 13 aprile 2026). Entro la stessa data gestori di registri e fornitori di servizi di registrazione dei nomi di dominio adempiono agli obblighi specifici sui sistemi DNS (art. 2).

02/08/2027 – AI Act – sandbox nazionali e modelli per finalità generali già sul mercato

Chi è tenuto: Sandbox: Stati membri e autorità competenti; di interesse per fornitori e PA che vogliano sperimentare sistemi di IA in ambiente controllato. Modelli: fornitori di modelli di IA per finalità generali immessi sul mercato prima del 2 agosto 2025.
Entro questa data ogni Stato membro deve rendere operativo almeno uno spazio di sperimentazione normativa per l’IA a livello nazionale (art. 57, par. 1, come modificato dal Regolamento (UE) 2026/1744). Alla stessa data scade il termine entro cui i fornitori di modelli di IA per finalità generali già sul mercato prima del 2 agosto 2025 devono conformarsi agli obblighi del regolamento (art. 111, par. 3).

12/09/2027 – Data Act – clausole abusive nei contratti già in essere

Chi è tenuto: Imprese parti di contratti sull’accesso e l’uso dei dati conclusi entro il 12 settembre 2025, a tempo indeterminato o con scadenza almeno dieci anni dopo l’11 gennaio 2024.
Le regole del Data Act sulle clausole abusive si applicano già ai contratti conclusi dopo il 12 settembre 2025. Dal 12 settembre 2027 si estendono anche ai contratti anteriori a tempo indeterminato o con scadenza almeno dieci anni dopo l’11 gennaio 2024.

30/09/2027 – IA nelle attività di polizia – d.lgs. n. 160/2026

Chi è tenuto: Solo le Forze di polizia di cui all’art. 16 della legge n. 121/1981 (definizione dell’art. 2 del decreto). La polizia locale dei Comuni non rientra in questa definizione.
Il d.lgs. 9 settembre 2026, n. 160, è in vigore dal 30 settembre 2026. I sistemi di IA già usati, sviluppati, sperimentati o acquistati per finalità di polizia devono essere adeguati al capo II del titolo I entro un anno, quindi entro il 30 settembre 2027. Per le disposizioni collegate all’AI Act restano applicabili i termini del Regolamento (UE) 2024/1689.

02/12/2027 – AI Act – sistemi ad alto rischio (Allegato III)

Chi è tenuto: Solo fornitori e deployer (utilizzatori) di sistemi di IA ad ALTO RISCHIO dell’Allegato III (biometria, infrastrutture critiche, istruzione, lavoro e selezione del personale, accesso a servizi essenziali, contrasto, migrazione, giustizia). Riguarda sia PA sia imprese.
Data di applicazione del capo III, sezioni 1, 2 e 3, per i sistemi ad alto rischio dell’art. 6, par. 2, e dell’Allegato III, fissata dal Regolamento (UE) 2026/1744 (art. 113, terzo comma, lett. c, punto i). I sistemi già sul mercato prima di tale data restano soggetti solo in caso di modifiche significative della progettazione; quelli destinati a essere usati da autorità pubbliche devono comunque essere resi conformi entro il 2 agosto 2030 (art. 111, par. 2).

11/12/2027 – Cyber Resilience Act – piena applicazione

Chi è tenuto: Fabbricanti, importatori e distributori di prodotti con elementi digitali (hardware e software connessi). NON riguarda gli utilizzatori finali né gli enti pubblici in quanto acquirenti, che ne beneficiano negli acquisti.
Il Regolamento (UE) 2024/2847 si applica integralmente dall’11 dicembre 2027 (art. 71, par. 2), con requisiti essenziali di cibersicurezza e marcatura CE. Gli obblighi di segnalazione di vulnerabilità attivamente sfruttate e incidenti gravi (art. 14) si applicano già dall’11 settembre 2026 e le norme sugli organismi notificati (capo IV) dall’11 giugno 2026.

02/08/2028 – AI Act – alto rischio nei prodotti regolamentati (Allegato I)

Chi è tenuto: Fabbricanti e fornitori di prodotti soggetti alla normativa di armonizzazione dell’Allegato I (es. dispositivi medici, macchine, giocattoli, ascensori) che integrano sistemi di IA ad alto rischio come componenti di sicurezza.
Data di applicazione del capo III, sezioni 1, 2 e 3, per i sistemi ad alto rischio dell’art. 6, par. 1, e dell’Allegato I, fissata dal Regolamento (UE) 2026/1744 (art. 113, terzo comma, lett. c, punto ii).

28/06/2030 – European Accessibility Act – fine del periodo transitorio

Chi è tenuto: Fornitori di servizi rientranti nella Direttiva (UE) 2019/882 (es. e-commerce, servizi bancari ai consumatori, trasporto passeggeri, e-book, comunicazioni elettroniche); le microimprese che forniscono servizi sono esentate. La PA resta soggetta agli obblighi di accessibilità già vigenti.
Termina il periodo transitorio previsto dall’European Accessibility Act. Fino al 28 giugno 2030 i fornitori possono continuare a prestare servizi con prodotti usati legittimamente prima del 28 giugno 2025. I contratti di servizi anteriori possono restare invariati fino alla scadenza, ma non oltre cinque anni. Gli Stati possono inoltre consentire l’uso dei terminali self-service già in funzione fino a fine vita, entro un massimo di vent’anni.

Contatti: info@isimply.it

Nota volontaria di trasparenza sull’uso dell’intelligenza artificiale. Questo contenuto è stato predisposto con il supporto di strumenti di IA generativa ed è stato sottoposto a revisione umana sostanziale, verifica delle fonti ufficiali e controllo editoriale. iSimply srl detiene la responsabilità editoriale della pubblicazione. L’art. 50, par. 4, del Regolamento (UE) 2024/1689 disciplina i testi generati o manipolati dall’IA e pubblicati per informare il pubblico su questioni di interesse pubblico. In questi casi l’obbligo di rendere nota la natura artificiale non si applica quando il testo è sottoposto a revisione umana o controllo editoriale e una persona fisica o giuridica ne assume la responsabilità editoriale. iSimply sceglie comunque di rendere trasparente l’impiego di strumenti di IA nel processo redazionale.

Le altre rassegne

TRIBUTI: rassegna stampa iSimply del mese di ottobre 2026

arrow_forward

Rassegna stampa NIS2 del mese di settembre 2026

arrow_forward

GDPR e protezione dei dati: rassegna stampa iSimply del mese di settembre 2026

arrow_forward

TRIBUTI: rassegna stampa iSimply del mese di settembre 2026

arrow_forward

GDPR e protezione dei dati: rassegna stampa iSimply del mese di agosto 2026

arrow_forward