GDPR e protezione dei dati: rassegna stampa iSimply del mese di settembre 2026

Rassegna stampa GDPR e protezione dei dati a cura di iSimply del mese di settembre 2026

 

EDITORIALE – SETTEMBRE 2026

Cari custodi della privacy,

settembre ha riaperto la stagione con un messaggio che attraversa quasi tutti i provvedimenti del mese: un controllo esiste davvero solo se funziona. Non basta che una regola sia scritta in una policy, in un accordo sindacale o in un contratto con il fornitore: deve tradursi in un sistema che la fa rispettare e che lascia traccia. È il metro con cui oggi vengono misurati titolari e responsabili, pubblici e privati.

L’esempio più istruttivo arriva dalla sanità. Con il provvedimento n. 616 del 3 settembre il Garante ha sanzionato per 24.000 euro l’Azienda sanitaria universitaria Friuli Centrale: il dossier di una dipendente-paziente era stato consultato per organizzare i turni, senza alert sugli accessi anomali. Negli stessi giorni la CNIL ha sanzionato per 500.000 euro una clinica francese i cui utenti esterni accedevano ai fascicoli senza autenticazione a più fattori. Le autorizzazioni vanno disegnate sul ruolo di cura e poi verificate.

Per i Comuni e gli enti pubblici i casi sono molto concreti: ASIS Trento sanzionata per le telecamere sugli armadietti di uno spogliatoio (provv. n. 619), l’INRIM per un impianto difforme dall’accordo sindacale (provv. n. 620), il Comune di Aprilia per aver girato al datore di lavoro la PEC con cui un dipendente chiedeva un incontro (provv. n. 615). Il piano ispettivo guarda anche ai servizi sociali comunali, all’IA di Comuni e ASL e ai fornitori del servizio di DPO.

Per le imprese, e per chi opera come responsabile, il segnale più forte è economico: 5.508.000 euro a BBVA, succursale italiana, perché l’opposizione del cliente al marketing non si era propagata alla piattaforma di invio (provv. n. 613). Il caso Revolut, con richieste di dati partite dalla PEC di un’amministrazione compromessa, ricorda che va verificato il titolo della richiesta, non solo il mittente. E l’EDPB ha messo in consultazione le Linee guida 04/2026 su quando scatta la sanzione pecuniaria.

Sul fronte normativo, il d.lgs. n. 160/2026, in vigore dal 30 settembre, disciplina l’uso dell’IA nelle attività di polizia e impone log non modificabili conservati cinque anni; per i Comuni non è un via libera a funzioni biometriche autonome sulle proprie telecamere. Dall’11 settembre i fabbricanti di prodotti digitali hanno i primi obblighi di segnalazione del Cyber Resilience Act, e il Threat Landscape di ENISA vede la pubblica amministrazione come il settore più presente fra gli eventi analizzati.

Ottobre sarà il mese della verifica: maturano i diciotto mesi per le misure NIS di base del primo ciclo, il 29 scade l’adeguamento alle Linee guida sui tracking pixel e il 30 si chiudono le consultazioni europee su anonimizzazione e web scraping. Il consiglio è semplice: scegliete un processo critico, provate il controllo come lo proverebbe un ispettore e documentate l’esito. Come sempre, per ogni voce troverete perché è rilevante e l’azione pratica.

Con stima e fiducia in un domani più sicuro,

Enrico Capirone

Presidente iSimply e Senior Advisor Gruppo 2G

 

 

NOTIZIE IN EVIDENZA

Una selezione ragionata per i Titolari del trattamento, distinta tra enti pubblici (Comuni e PA) e operatori privati, con il rimando alle voci di dettaglio nelle sezioni successive.

 In evidenza per gli enti pubblici (Comuni e PA)

• Dossier sanitario: 24.000 euro all’Azienda sanitaria universitaria Friuli Centrale. Con il provv. n. 616 del 3 settembre il Garante ha censurato l’accesso al dossier di una dipendente-paziente per organizzare i turni e l’assenza di alert sugli accessi anomali: il dossier è consultabile solo per finalità di cura.
• Telecamere negli spogliatoi e accordi sindacali disattesi. ASIS Trento è stata sanzionata per le riprese dell’area armadietti di una piscina (provv. n. 619), l’INRIM per un impianto difforme dall’accordo con i sindacati e attivato per test all’insaputa del personale (provv. n. 620).
• Il Comune non può girare al datore di lavoro la segnalazione di un dipendente. Con il provv. n. 615 il Garante ha sanzionato il Comune di Aprilia per aver inoltrato all’azienda speciale la PEC con cui un suo dipendente chiedeva un incontro: avrebbe potuto chiedere chiarimenti senza rivelarne l’identità.
• Piano ispettivo fino a dicembre 2026. La deliberazione del Garante prevede accertamenti, fra l’altro, su servizi sociali comunali, IA usata da Comuni e ASL, fascicolo sanitario elettronico, tracking pixel e soggetti che forniscono agli enti pubblici il servizio di DPO.

 In evidenza per il settore privato (imprese e professionisti)

• Opposizione al marketing ignorata: 5.508.000 euro a BBVA. Con il provv. n. 613 del 3 settembre il Garante ha ritenuto che il disallineamento fra i sistemi della banca e la piattaforma di invio non escludesse la responsabilità del titolare: l’opposizione deve propagarsi a tutti gli strumenti.
• Richieste di dati via PEC: il caso Revolut. Dopo la comunicazione di dati di clienti a un soggetto non autorizzato, che si presentava come autorità pubblica tramite PEC, il Garante ha chiesto ai DPO delle banche di cercare richieste anomale provenienti dalla stessa casella (news del 18 settembre).
• EDPB: quando una violazione porta alla sanzione pecuniaria. Le Linee guida 04/2026, adottate il 17 settembre e in consultazione fino al 13 novembre, descrivono in cinque passaggi la scelta fra multa e altri poteri correttivi, compresa l’individuazione di chi ne risponde fra titolare e responsabile.
• Cyber Resilience Act: dall’11 settembre le prime segnalazioni obbligatorie. I fabbricanti di prodotti con elementi digitali devono notificare al CSIRT e a ENISA le vulnerabilità attivamente sfruttate e gli incidenti gravi; la piena applicazione del regolamento è fissata all’11 dicembre 2027.

 

La rassegna in numeri

Periodo di riferimento: Settembre 2026 (mese solare).

Voci selezionate e verificate: 44

Sezioni tematiche: 7

Fonti consultate: garanteprivacy.it, edpb.europa.eu, dataprotection.ie, cnil.fr, curia.europa.eu, eur-lex.europa.eu, gazzettaufficiale.it, normattiva.it, governo.it, digital-strategy.ec.europa.eu, acn.gov.it, enisa.europa.eu, federprivacy.org, agendadigitale.eu, cybersecurity360.it, lentepubblica.it, giuricivile.it.

 

INDICE

Le sezioni della rassegna di questo mese, con una breve descrizione di cosa contiene ciascuna.

▪  Editoriale del mese — La lettura d’insieme di settembre: un controllo esiste solo se funziona, dal dossier sanitario alle opposizioni al marketing.

▪  Notizie in evidenza — I fatti più importanti del mese, distinti fra enti pubblici e settore privato, con il rimando alle sezioni di dettaglio.

▪  1. Garante per la protezione dei dati personali – provvedimenti e sanzioni — Le newsletter dell’11 e del 30 settembre: sanità, videosorveglianza, lavoro, graduatorie online, marketing bancario e il nuovo piano ispettivo.

▪  2. Novità normative italiane ed europee — Spazio europeo dei dati sanitari, servizi di sicurezza gestiti, stato del Digital Omnibus, accessibilità e anagrafe.

▪  3. EDPB e strumenti operativi per il DPO — Le linee guida EDPB su sanzioni e DSA-GDPR e le decisioni delle autorità irlandese e francese su sanità, cancellazione e consenso.

▪  4. AI Act e uso conforme dell’AI — Il d.lgs. n. 160/2026 su IA e attività di polizia, i nuovi profili penali e 231, la vigilanza nazionale e i primi controlli della Commissione.

▪  5. Giurisprudenza — Corte di giustizia su dati degli azionisti, consenso dei partner e conservazione dei dati di traffico; Cassazione su consenso e termini dei procedimenti del Garante.

▪  6. Cybersecurity, tecnologie emergenti e segnali — Vademecum NIS, dati ACN di agosto, Threat Landscape ENISA, Cyber Resilience Act, caso Revolut e il primo breach attribuito a un agente di IA.

▪  7. Approfondimenti metodologici per il DPO — Conflitto di interessi del DPO, censimento delle telecamere private, accesso alla casella del dipendente assente, continuità operativa, accesso agli esposti.

▪  Cosa fare questo mese: indicazioni pratiche — L’elenco operativo delle azioni concrete suggerite dai provvedimenti e dai segnali del mese, con i destinatari e i tempi.

▪  Scadenze normative in arrivo — Il calendario delle scadenze con l’indicazione, per ciascuna, di chi è effettivamente tenuto.

▪  Il nostro Team Privacy e protezione dati — Chi cura la rassegna e come lavoriamo a fianco dei Titolari.

 

1. Garante per la protezione dei dati personali – provvedimenti e sanzioni

06/08/2026 (provv. n. 585 del 06/08/2026, reso noto il 30/09/2026)  |  Fonte: garanteprivacy.it

Dati GPS dell’auto aziendale negati al lavoratore licenziato: 39.000 euro a una società di vigilanza di Bologna

#lavoro  #geolocalizzazione  #dirittodiaccesso  #informativa

Un ex addetto di La Patria S.p.A., società di vigilanza di Bologna, aveva chiesto di accedere ai dati raccolti dal sistema GPS dell’auto aziendale a lui assegnata per difendersi nella contestazione disciplinare sfociata nel licenziamento. La società non ha dato un riscontro idoneo. Con il provv. n. 585 del 6 agosto 2026 il Garante ha ricordato che, anche quando il titolare ritiene di non poter accogliere una richiesta, deve comunicarne i motivi e indicare la possibilità di ricorrere al giudice o al Garante (art. 12, par. 4, GDPR). È stato accertato inoltre che ai dipendenti non era stata fornita un’informativa sulla geolocalizzazione dei veicoli, pur prevista dall’accordo sindacale ex art. 4 dello Statuto, e che i documenti informativi descrivevano trattamenti di dati particolari mai effettuati. Violati gli artt. 12, 13 e 15 del GDPR: sanzione complessiva di 39.000 euro.

Perché è rilevante: Per le imprese con flotte aziendali il dato GPS del veicolo è un dato personale del lavoratore alla guida, con i conseguenti obblighi di informativa e di accesso. Il silenzio o un diniego non motivato sulla richiesta di accesso è da solo motivo di sanzione, anche in pendenza di contenzioso.

Azione pratica: Verifica che l’informativa ai dipendenti descriva in modo specifico il sistema di geolocalizzazione dei veicoli (dati, finalità, conservazione) e che la procedura per le richieste di accesso preveda sempre una risposta scritta entro i termini, motivata in caso di diniego e con l’indicazione dei mezzi di tutela.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10297306

• • •

03/09/2026 (provv. n. 616 del 03/09/2026, reso noto l’11/09/2026)  |  Fonte: garanteprivacy.it

Dossier sanitario usato per organizzare i turni: sanzionata l’Azienda sanitaria universitaria Friuli Centrale per 24.000 euro

#sanità  #dossiersanitario  #lavoro  #accessi

Una dipendente, che era anche paziente dell’ospedale, ha scoperto che una collega del suo reparto aveva consultato il suo dossier sanitario per verificare, durante la pandemia, l’eventuale positività al Covid-19 e pianificare i turni, su mandato della direzione medica. Accertati anche accessi di professionisti che non la avevano in cura. Per il Garante (provv. n. 616 del 3 settembre 2026) il dossier è consultabile solo per finalità di cura, non per esigenze organizzative del datore di lavoro; la configurazione aziendale non prevedeva limiti specifici agli accessi né alert automatici. Violati gli artt. 5, 9, 25

dell’Allegato I, fissata dal Regolamento (UE) 2026/1744 (art. 113, terzo comma, lett. c, punto ii).

28/06/2030  –  European Accessibility Act – fine del periodo transitorio

Chi è tenuto: Fornitori di servizi rientranti nella Direttiva (UE) 2019/882 (es. e-commerce, servizi bancari ai consumatori, trasporto passeggeri, e-book, comunicazioni elettroniche); le microimprese che forniscono servizi sono esentate. La PA resta soggetta agli obblighi di accessibilità già vigenti.

Termina il periodo transitorio dell’art. 32: fino al 28 giugno 2030 i fornitori possono continuare a prestare servizi con i prodotti che utilizzavano legittimamente prima del 28 giugno 2025, e i contratti di servizi conclusi prima di quella data possono restare invariati fino alla scadenza, ma non oltre cinque anni. Gli Stati membri possono consentire l’uso dei terminali self-service già in funzione fino a fine vita, entro il limite di vent’anni.

e 32 del GDPR e l’art. 75 del Codice. Oltre alla sanzione di 24.000 euro, l’Azienda deve entro 60 giorni limitare l’accesso alle finalità di cura, escludendo chi agisce come datore di lavoro, e introdurre alert automatici e blocchi per inattività calibrati sui reparti.

Perché è rilevante: Per le aziende sanitarie il caso tocca un punto ricorrente: lo stesso ente è insieme datore di lavoro e struttura che ha in cura i dipendenti, e il dossier non può diventare uno strumento gestionale. Il Garante ha richiamato i precedenti nella stessa Regione e si è riservato ulteriori misure, segno che la configurazione dei sistemi regionali è sotto osservazione.

Azione pratica: Verifica con il fornitore del dossier sanitario che i profili di accesso siano legati al rapporto di cura e che siano attivi alert automatici sugli accessi anomali, compresi quelli ai dossier dei dipendenti; per le esigenze organizzative (turni, idoneità) usa canali dedicati con il medico competente.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10293994

• • •

03/09/2026 (provv. n. 619 del 03/09/2026, reso noto l’11/09/2026)  |  Fonte: garanteprivacy.it

Telecamere sugli armadietti dello spogliatoio di una piscina comunale: sanzionata ASIS Trento

#videosorveglianza  #entilocali  #partecipate  #informativa

L’Azienda speciale che gestisce gli impianti sportivi del Comune di Trento (ASIS) riprendeva dal 2007 l’area armadietti degli spogliatoi della piscina del Centro sportivo Trento Nord, a Gardolo, per prevenire furti. Le cabine, le docce e i servizi non erano inquadrati, ma per il Garante (provv. n. 619 del 3 settembre 2026) lo spogliatoio resta un luogo con elevata aspettativa di riservatezza, dove la videosorveglianza non è ammessa se lede dignità e intimità delle persone. Il trattamento è risultato privo di base giuridica adeguata; carenti anche le informative agli utenti, mentre quella ai lavoratori ripresi è arrivata solo dopo l’avvio dell’istruttoria. Contestata pure la conservazione delle immagini per 72 ore senza una valutazione che ne dimostrasse la necessità. Sanzione di 8.000 euro, contenuta per la collaborazione e la rimozione delle telecamere.

Perché è rilevante: Riguarda Comuni, aziende speciali e società che gestiscono impianti sportivi, ma anche palestre private: la finalità antifurto non giustifica riprese in ambienti dove le persone si cambiano. Il provvedimento ricorda inoltre che il tempo di conservazione va motivato in concreto, non fissato per prassi.

Azione pratica: Censisci le telecamere degli impianti sportivi e delle strutture gestite (anche tramite partecipate o concessionari) ed elimina ogni ripresa di spogliatoi e aree armadietti; per i furti valuta misure alternative, come armadietti con chiusura sicura, e documenta la durata di conservazione delle immagini.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10294255

• • •

03/09/2026 (provv. n. 615 del 03/09/2026)  |  Fonte: garanteprivacy.it

Comune inoltra al datore di lavoro la PEC di un dipendente che chiedeva un incontro: sanzionato il Comune di Aprilia

#entilocali  #segnalazioni  #comunicazioneaterzi  #lavoro

Un dipendente di un’azienda speciale comunale aveva scritto via PEC alla Commissione straordinaria del Comune di Aprilia, sciolto per infiltrazioni mafiose, chiedendo un incontro per riferire su una gestione a suo dire anomala dell’azienda. Senza sentirlo né chiedere elementi, il Comune ha girato la PEC con il suo nome proprio all’azienda segnalata, suo datore di lavoro, chiedendo una relazione sul dipendente; ne sono seguiti un procedimento disciplinare e il licenziamento. Con il provv. n. 615 del 3 settembre 2026 il Garante ha ritenuto che nessuna delle norme del TUEL e del d.lgs. n. 175/2016 invocate costituisse una base giuridica idonea per quella comunicazione (art. 2-ter del Codice) e ha accertato la violazione dei principi di limitazione della finalità e minimizzazione: il Comune avrebbe potuto chiedere chiarimenti senza rivelare l’identità del segnalante. Sanzione di 5.000 euro.

Perché è rilevante: Il reclamante non aveva chiesto riservatezza né attivato il whistleblowing, ma il Garante ha comunque preteso cautele per prevenire ritorsioni. Per Comuni ed enti che controllano partecipate e aziende speciali, la gestione delle segnalazioni ricevute fuori dai canali formali è un’area di rischio concreto.

Azione pratica: Adotta una procedura scritta per gestire esposti e segnalazioni che arrivano al protocollo o agli organi dell’ente (anche fuori dal canale whistleblowing), che vieti di inoltrare l’identità del segnalante al soggetto segnalato e preveda prima un contatto con l’interessato per acquisire elementi.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10296755

• • •

03/09/2026 (provv. n. 620 del 03/09/2026, reso noto il 30/09/2026)  |  Fonte: garanteprivacy.it

Telecamere installate e attivate in difformità dall’accordo sindacale: 10.000 euro all’Istituto Nazionale di Ricerca Metrologica

#videosorveglianza  #lavoro  #statutolavoratori  #DPIA

Su reclamo di due dipendenti, il Garante (provv. n. 620 del 3 settembre 2026) ha sanzionato l’INRIM di Torino, ente pubblico di ricerca. L’impianto di videosorveglianza, concordato con le organizzazioni sindacali per riprendere solo muri e recinzioni, era stato realizzato con otto telecamere in più rispetto alla planimetria condivisa e con collocazioni e aree di ripresa diverse. In alcune giornate, durante l’orario di apertura degli uffici, le telecamere erano state attivate a fini di test, all’insaputa del personale. Per l’Autorità è irrilevante che si trattasse di verifiche tecniche senza registrazione: si è comunque avuto un trattamento illecito dei dati di lavoratori e visitatori, privo di informativa e avviato senza valutazione d’impatto. Violati gli artt. 5, 6, 12, 13, 35 e 88 del GDPR e gli artt. 2-ter e 114 del Codice, in riferimento all’art. 4 della legge n. 300/1970.

Perché è rilevante: Vale per enti pubblici e imprese: l’accordo sindacale vincola numero, posizione e campo di ripresa delle telecamere, e ogni modifica richiede un nuovo passaggio. Anche le prove tecniche in orario di lavoro sono un trattamento che richiede informativa e, se il rischio è elevato, una DPIA preventiva.

Azione pratica: Confronta l’impianto realmente installato con la planimetria allegata all’accordo sindacale o all’autorizzazione dell’Ispettorato; pianifica collaudi e test fuori dall’orario di lavoro o con preavviso al personale, e completa la DPIA prima della messa in esercizio.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10297167

• • •

03/09/2026 (provv. n. 613 del 03/09/2026, reso noto l’11/09/2026)  |  Fonte: garanteprivacy.it

Messaggi promozionali in app nonostante l’opposizione del cliente: sanzione di 5.508.000 euro a BBVA, succursale italiana

#marketing  #banche  #opposizione  #accountability

Un cliente di Banco Bilbao Vizcaya Argentaria, succursale italiana, si era opposto alle comunicazioni commerciali tramite l’app e aveva ribadito il suo no al servizio clienti, ma ha continuato a ricevere messaggi promozionali per sette mesi, da ottobre 2025 a maggio 2026. La banca ha attribuito il problema a un errore tecnico di allineamento tra i propri sistemi e la piattaforma che gestisce le comunicazioni commerciali. Con il provv. n. 613 del 3 settembre 2026 il Garante ha ritenuto il malfunzionamento non sufficiente a escludere la responsabilità del titolare e ha rilevato anche un riscontro non corretto alle richieste del cliente, con informazioni errate sui trattamenti interni. Violati gli artt. 5, 12, 21 e 24 del GDPR. Oltre alla sanzione di 5.508.000 euro, la banca deve adottare misure per facilitare l’esercizio dei diritti e riferire entro 30 giorni.

Perché è rilevante: Il principio vale per qualunque organizzazione che usi piattaforme esterne o più sistemi: registrare l’opposizione non basta se la scelta non si propaga a tutti gli strumenti che inviano comunicazioni. Per i fornitori di piattaforme di marketing, in qualità di responsabili del trattamento, la sincronizzazione delle preferenze è parte delle garanzie da offrire.

Azione pratica: Verifica con un test documentato che un’opposizione o una revoca del consenso registrata su un canale (app, sito, call center) blocchi effettivamente gli invii su tutti i sistemi collegati, inclusi quelli gestiti da fornitori, e prevedi un controllo periodico di allineamento delle liste.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10291895

• • •

11/09/2026 (provv. n. 550 del 23/07/2026, reso noto a settembre)  |  Fonte: garanteprivacy.it

Graduatoria degli avviamenti a selezione pubblicata online: 30.000 euro all’Agenzia regionale per il lavoro dell’Emilia-Romagna

#trasparenza  #PA  #graduatorie  #collocamento

Su reclamo, il Garante (provv. n. 550 del 23 luglio 2026, reso noto con la newsletter dell’11 settembre) ha sanzionato l’Agenzia regionale per il lavoro dell’Emilia-Romagna per aver pubblicato online, indicizzati dai motori di ricerca, i nominativi di circa 700 iscritti ai centri per l’impiego inseriti nella graduatoria di un avviamento a selezione ex art. 16 della legge n. 56/1987, per l’assunzione di operatori addetti all’accoglienza presso un’azienda ospedaliera. Secondo l’Autorità, l’obbligo di pubblicare le graduatorie finali riguarda i concorsi indetti con bando per il reclutamento, non le procedure di avviamento degli iscritti alle liste di collocamento: la sola partecipazione può rivelare condizioni di disabilità o situazioni economiche e sociali delicate. L’Agenzia avrebbe potuto usare codici che consentissero a ciascuno di conoscere solo la propria posizione. Violati gli artt. 5, 6 e 9 del GDPR.

Perché è rilevante: Per gli enti pubblici il punto è che la trasparenza è dovuta solo nei casi e nei limiti previsti dalla norma: estendere per analogia l’obbligo di pubblicare i vincitori di concorso ad altre procedure espone a sanzione. La pubblicazione di elenchi di persone in condizione di svantaggio è tra i casi più delicati.

Azione pratica: Verifica le pubblicazioni di graduatorie ed elenchi sul sito istituzionale distinguendo concorsi con bando da avviamenti, mobilità e altre procedure; dove manca un obbligo espresso, sostituisci i nominativi con codici identificativi e richiedi la deindicizzazione delle pagine già pubblicate.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10287084

• • •

22/09/2026 (deliberazione n. 545 del 23/07/2026, resa nota a settembre)  |  Fonte: federprivacy.org

Piano ispettivo del Garante agosto-dicembre 2026: nel mirino anche i fornitori del servizio DPO agli enti pubblici, i servizi sociali comunali e l’IA di Comuni e ASL

#ispezioni  #DPO  #entilocali  #sanità

Federprivacy ha commentato il 22 settembre la deliberazione del Garante sulla programmazione ispettiva per agosto-dicembre 2026 (doc. web n. 10296923, deliberazione del 23 luglio 2026, pubblicata a settembre). Sono previsti almeno 35 accertamenti, anche tramite la Guardia di Finanza, su: geomarketing e neuromarketing; fascicolo sanitario elettronico e app mediche; data breach di banche dati pubbliche, con verifica di sicurezza e accessibilità; trattamenti dei soggetti che forniscono agli enti pubblici il servizio di RPD; servizi socio-assistenziali dei Comuni e relativi applicativi; attuazione delle Linee guida del 17 aprile 2026 sui tracking pixel nelle e-mail; IA usata da Comuni e ASL; dynamic pricing; oltre a VIS, sistema doganale e grandi violazioni. L’articolo osserva che la pubblicazione è arrivata a periodo già avviato e che la deliberazione non ripartisce gli accertamenti tra gli ambiti, né prevede un rendiconto pubblico specifico.

Perché è rilevante: Diversi ambiti riguardano direttamente i Comuni e la sanità, e per la prima volta compaiono i fornitori esterni del servizio RPD e degli applicativi dei servizi sociali: anche i Responsabili del trattamento sono destinatari attesi dei controlli. Il piano indica dove il Garante si aspetta di trovare documentazione coerente con i processi reali.

Azione pratica: Verifica se l’ente rientra in uno degli ambiti del piano (servizi sociali, IA, FSE, banche dati con precedenti violazioni) e prepara un fascicolo pronto per un’ispezione: registro dei trattamenti, contratti ex art. 28 con i fornitori degli applicativi, DPIA e log degli accessi.

Per leggere l’articolo completo: https://www.federprivacy.org/informazione/flash-news/nuovo-piano-ispettivo-del-garante-privacy-priorita-di-fine-2026-e-trasparenza-della-vigilanza

• • •

2. Novità normative italiane ed europee

09/09/2026  |  Fonte: agendadigitale.eu

Digital Omnibus: la parte su GDPR e cookie resta ferma in prima lettura, mentre l’Omnibus sull’IA è già legge

#GDPR  #cookie  #DigitalOmnibus  #ePrivacy

Un approfondimento di Agenda Digitale del 9 settembre 2026 fa il punto sul pacchetto Digital Omnibus presentato dalla Commissione il 19 novembre 2025. Il binario sull’intelligenza artificiale si è chiuso con il regolamento (UE) 2026/1744, pubblicato in GUUE il 24 luglio 2026 e in vigore dal 27 luglio. La proposta che modifica GDPR, direttiva ePrivacy e altri atti (COM(2025) 837) è invece ancora in discussione: il 15 luglio 2026 è scaduto il termine per gli emendamenti al Parlamento europeo e la Presidenza irlandese del Consiglio ha ripreso i nodi lasciati aperti, cookie compresi, con un nuovo testo di compromesso atteso a settembre. L’articolo esamina in particolare i nuovi articoli 88 bis e 88 ter del GDPR sul consenso per i cookie e sul consenso espresso tramite browser, segnalandone le criticità operative.

Perché è rilevante: Finché la proposta non è approvata valgono le regole attuali: GDPR, art. 122 del Codice privacy e linee guida del Garante sui cookie. Per enti e imprese è un invito a non riprogettare banner, informative o registri inseguendo un testo che può ancora cambiare in modo rilevante.

Azione pratica: Mantieni la gestione dei cookie e del consenso allineata alle regole oggi in vigore e annota nel registro delle attività di monitoraggio normativo le parti del Digital Omnibus da seguire (definizione di dato personale, cookie, consenso via browser).

Per leggere l’articolo completo: https://www.agendadigitale.eu/documenti/digital-omnibus-tutti-i-nodi-da-sciogliere-della-riforma-ue/

• • •

11/09/2026 (schema di d.P.R.; parere Cons. Stato n. 1182 del 07/07/2026)  |  Fonte: lentepubblica.it

Cambio di residenza: lo schema di nuovo regolamento anagrafico prevede solo ANPR o sportello, stop a fax, email e PEC

#entilocali  #anagrafe  #ANPR  #datipersonali

Lentepubblica.it, l’11 settembre 2026, ha illustrato lo schema di d.P.R. che aggiorna il regolamento anagrafico della popolazione residente (d.P.R. n. 223/1989), su cui si è espresso il Consiglio di Stato con parere n. 1182 del 7 luglio 2026. Il testo prevede che trasferimento di residenza, cambio di abitazione nello stesso Comune, costituzione o variazione di famiglia e convivenza si dichiarino solo davanti all’ufficiale d’anagrafe o tramite i servizi telematici dell’ANPR, eliminando fax, email e PEC. Restano gli accertamenti del Comune sulla dimora abituale. Lo schema disciplina anche la restituzione ai Comuni, in forma individuale, dei dati del censimento permanente: secondo il Consiglio di Stato le risultanze statistiche non possono da sole fondare una cancellazione anagrafica e serve un confronto preventivo con la Commissione europea sulla coerenza con il GDPR.

Perché è rilevante: Per gli uffici demografici cambiano canali di ricezione, istruttorie e informazioni da dare ai cittadini; l’uso di dati censuari per rivedere le anagrafi richiede cautela sul principio di limitazione della finalità. Il provvedimento non è ancora in vigore.

Azione pratica: Segui l’iter del regolamento e prepara l’aggiornamento della modulistica, dell’informativa anagrafica e del registro dei trattamenti dei servizi demografici; non usare esiti del censimento per cancellazioni senza un’istruttoria specifica.

Per leggere l’articolo completo: https://lentepubblica.it/pa-digitale/stop-a-fax-e-pec-solo-anpr-o-uffici-ecco-come-fare-il-cambio-di-residenza/

• • •

16/09/2026 (CdM n. 189, esame definitivo)  |  Fonte: governo.it

Certificazione europea dei servizi di sicurezza gestiti: il Consiglio dei ministri approva in via definitiva il decreto di adeguamento al regolamento (UE) 2025/37

#cybersecurity  #ACN  #certificazione  #fornitori

Nella seduta del 16 settembre 2026 (comunicato n. 189) il Consiglio dei ministri ha approvato in esame definitivo, tenendo conto dei pareri delle Commissioni parlamentari, il decreto legislativo di adeguamento della normativa nazionale al regolamento (UE) 2025/37 del 19 dicembre 2024, che modifica il Cybersecurity Act (reg. (UE) 2019/881) per i servizi di sicurezza gestiti. Secondo la sintesi dell’esame preliminare del 2 luglio 2026, il provvedimento estende il sistema europeo di certificazione della cibersicurezza ai servizi di sicurezza gestiti, come gestione degli incidenti, test di penetrazione, audit di sicurezza e consulenza; aggiorna le competenze dell’Agenzia per la cybersicurezza nazionale (ACN) come autorità nazionale di certificazione e ridefinisce le procedure di accreditamento e autorizzazione degli organismi di valutazione della conformità. Il decreto entrerà in vigore dopo la pubblicazione in Gazzetta Ufficiale.

Perché è rilevante: Per gli enti che affidano a terzi SOC, gestione degli incidenti o penetration test, la certificazione europea diventerà un criterio verificabile per scegliere il fornitore. Per le imprese che offrono questi servizi, spesso Responsabili del trattamento, si apre la prospettiva di una certificazione da ottenere e mantenere.

Azione pratica: Censisci i servizi di sicurezza gestiti che acquisti o eroghi e, nei prossimi capitolati o rinnovi, prevedi una clausola che chieda al fornitore di indicare se possiede o intende ottenere una certificazione europea, quando gli schemi saranno disponibili.

Per leggere l’articolo completo: https://www.governo.it/it/articolo/comunicato-stampa-del-consiglio-dei-ministri-n-189/32596

• • •

21/09/2026 e 22/09/2026 (reg. di esecuzione (UE) 2026/2083, 2026/2098 e 2026/2099)  |  Fonte: eur-lex.europa.eu

Spazio europeo dei dati sanitari: pubblicati tre regolamenti di esecuzione su MyHealth@EU, identificazione dei pazienti e cataloghi dei dati

#sanità  #EHDS  #datisanitari  #interoperabilità

Nella Gazzetta ufficiale UE del 21 e 22 settembre 2026 sono usciti tre regolamenti di esecuzione del regolamento (UE) 2025/327 sullo Spazio europeo dei dati sanitari (EHDS). Il reg. 2026/2083 del 18/09/2026 disciplina LaMiaSalute@UE (MyHealth@EU), la piattaforma per lo scambio transfrontaliero dei dati sanitari, con regole su interoperabilità, sicurezza, segnalazione degli incidenti e controlli di conformità dei punti di contatto nazionali; si applica dal 26 marzo 2027. Il reg. 2026/2099 del 21/09/2026 riguarda l’identificazione e l’autenticazione di pazienti, professionisti e strutture sanitarie: si applica dal 26 marzo 2027, mentre le parti collegate al portafoglio europeo di identità digitale si applicano dal 26 marzo 2029. Il reg. 2026/2098 del 18/09/2026 fissa i metadati minimi con cui i titolari dei dati descrivono le proprie serie di dati per l’uso secondario e si applica dal 26 marzo 2029.

Perché è rilevante: Per Aziende sanitarie e Regioni l’EHDS smette di essere un orizzonte generico: le regole tecniche hanno date precise e coinvolgono sicurezza, identificazione e descrizione dei dataset. I fornitori di software sanitario, spesso Responsabili del trattamento, dovranno adeguare prodotti e contratti a requisiti che ora sono scritti.

Azione pratica: Inserisci nel piano di adeguamento dell’ente le scadenze per fasi (26/03/2027 per MyHealth@EU e identificazione, 26/03/2029 per i metadati sull’uso secondario) e verifica con i fornitori del fascicolo e dei sistemi clinici come intendono rispettarle.

Per leggere l’articolo completo: https://eur-lex.europa.eu/eli/reg_impl/2026/2083/oj/ita

• • •

22/09/2026  |  Fonte: agendadigitale.eu

Dichiarazione di accessibilità entro il 23 settembre: per la PA è anche uno strumento di accountability

#accessibilità  #PA  #AgID  #LeggeStanca

Agenda Digitale, il 22 settembre 2026, ha ricordato la scadenza del 23 settembre entro cui le pubbliche amministrazioni e gli altri soggetti obbligati dalla Legge Stanca (l. n. 4/2004) devono pubblicare e aggiornare la dichiarazione di accessibilità di siti web e applicazioni mobili. La platea comprende anche enti pubblici economici, organismi di diritto pubblico, concessionari di servizi pubblici, appaltatori di servizi informatici e soggetti che ricevono contributi pubblici per servizi erogati online. L’articolo richiama i dati AgID del 2025: il 62,2% dei siti risultava parzialmente conforme e solo il 36,5% pienamente conforme. Tra le criticità più frequenti: PDF non accessibili, contrasti insufficienti, navigazione non utilizzabile da tastiera. Chiarisce inoltre che la sanzione fino al 5% del fatturato riguarda solo i grandi soggetti privati con fatturato medio superiore a 500 milioni di euro, non le PA.

Perché è rilevante: Per Comuni, scuole e Aziende sanitarie la dichiarazione è un atto pubblico che descrive lo stato reale dei servizi e può emergere in caso di contestazioni, anche per discriminazione ai sensi della l. n. 67/2006. Per i fornitori di siti e piattaforme l’accessibilità è un requisito contrattuale da garantire fin dalla progettazione.

Azione pratica: Verifica che la dichiarazione di accessibilità sia stata pubblicata o aggiornata entro il 23/09/2026 per ogni sito e app dell’ente e inserisci nei contratti con i fornitori web l’obbligo di consegnare contenuti accessibili, PDF compresi.

Per leggere l’articolo completo: https://www.agendadigitale.eu/cittadinanza-digitale/accessibilita-digitale-nella-pa-il-diritto-che-resta-incompiuto/

• • •

3. EDPB e strumenti operativi per il DPO

02/09/2026 (decisione DPC notificata all’HSE; news EDPB 03/09/2026)  |  Fonte: dataprotection.ie

Cartelle cliniche cartacee in ospedali dismessi: l’autorità irlandese sanziona il servizio sanitario pubblico HSE per 645.000 euro

#sanità  #archivicartacei  #conservazione  #databreach

La Data Protection Commission irlandese ha concluso l’istruttoria, avviata il 24/05/2024 dopo due violazioni notificate a ottobre e novembre 2023, sul servizio sanitario pubblico (HSE): persone non autorizzate erano entrate in due ex ospedali psichiatrici dismessi, filmando e diffondendo sui social le cartelle cliniche ancora conservate. In 12 ispezioni sono emersi documenti danneggiati da muffa e acqua, archivi in bagni dismessi o in un container. Accertate violazioni degli artt. 5, par. 1, lett. f) e 32 (sicurezza), 5, par. 1, lett. e) (limitazione della conservazione), 33 (notifica tardiva) e 34 (mancata comunicazione agli interessati). Sanzioni: 300.000 euro per sicurezza, 300.000 per conservazione, 30.000 per l’art. 33 e 15.000 per l’art. 34, oltre a un ammonimento e a ordini di audit di tutti i depositi, tracciamento dei fascicoli e distruzione sicura di quelli non più necessari. Aggravante: precedenti violazioni simili.

Perché è rilevante: Il caso riguarda un ente sanitario pubblico e ricorda che il GDPR si applica pienamente agli archivi cartacei, compresi quelli dimenticati in sedi dismesse. La conservazione oltre il necessario è stata sanzionata autonomamente, con lo stesso importo della mancata sicurezza.

Azione pratica: Censisci tutti i depositi cartacei, anche esterni o in edifici non più utilizzati, e verifica per ciascuno condizioni fisiche, controllo degli accessi e applicazione del piano di conservazione e scarto, con verbale di distruzione per ciò che non serve più.

Per leggere l’articolo completo: https://dataprotection.ie/en/news-media/latest-news/data-protection-commission-announces-final-decision-following-inquiry-health-service-executive-hse

• • •

03/09/2026 (délibération SAN-2026-009, resa nota a settembre)  |  Fonte: cnil.fr

Accesso al fascicolo paziente senza MFA né VPN: la CNIL sanziona l’Hôpital Privé de la Loire per 500.000 euro

#sanità  #MFA  #autorizzazioni  #databreach

Nell’estate 2025 un attaccante si è collegato al fascicolo paziente informatizzato dell’Hôpital Privé de la Loire, accedendo ai dati di 524.867 pazienti (in parte dati sanitari) e di 202.246 persone indicate come «tiers de confiance». La formation restreinte della CNIL ha accertato la violazione dell’art. 32 GDPR: accesso degli utenti esterni, come i medici non dipendenti, senza VPN né autenticazione a più fattori; profili di autorizzazione che non tenevano conto dell’équipe di cura, per cui un solo account consentiva di vedere tutti i pazienti; nessun sistema di rilevazione di attività anomale, tanto che l’estrazione è durata giorni. Accertata anche la violazione dell’art. 34, perché le persone di fiducia, pure coinvolte, non erano state informate. Sanzione: 500.000 euro, con obbligo di completare le misure avviate entro tre-quindici mesi a seconda del tipo.

Perché è rilevante: I tre punti contestati (MFA per gli accessi esterni, autorizzazioni limitate a chi ha in cura il paziente, monitoraggio dei log) sono lo stesso perimetro che un’azienda sanitaria o un ente con sportelli socio-sanitari deve presidiare. La comunicazione agli interessati deve raggiungere tutte le categorie di persone i cui dati sono stati sottratti, non solo i clienti principali.

Azione pratica: Verifica che ogni accesso remoto o da parte di soggetti esterni ai sistemi con dati sanitari richieda l’autenticazione a più fattori e che i profili siano limitati al personale effettivamente coinvolto. Nel piano di gestione dei data breach prevedi l’elenco di tutte le categorie di interessati da informare, compresi familiari e contatti di riferimento.

Per leggere l’articolo completo: https://www.cnil.fr/fr/sanction-hopital-prive-loire

• • •

09/09/2026 (délibération SAN-2026-010 del 21/07/2026, resa nota a settembre)  |  Fonte: cnil.fr

Richieste di cancellazione ignorate e risposte mancate: 300.000 euro di sanzione CNIL alla società EXTIA

#dirittidegliinteressati  #cancellazione  #selezionepersonale  #CEF

La CNIL ha sanzionato con 300.000 euro la società di consulenza informatica EXTIA (délibération SAN-2026-010 del 21/07/2026, pubblicata il 09/09/2026). Il controllo, svolto ad aprile 2025 a seguito di reclami di candidati ed ex dipendenti e nell’ambito dell’azione coordinata europea dell’EDPB sul diritto alla cancellazione, ha rilevato che oltre tre quarti delle 265 richieste di cancellazione ricevute nel 2024 non erano state gestite o lo erano state in modo insoddisfacente. Accertate la violazione degli artt. 12 e 17 GDPR per 12 richieste non trattate e dell’art. 12 per 166 persone mai informate dell’esito, più 27 informate oltre il termine di un mese. La società sosteneva che molti dati dei candidati erano già cancellati automaticamente, ma per la CNIL questo non esonera dall’obbligo di rispondere. Pesano il numero di persone coinvolte e due precedenti richiami.

Perché è rilevante: La cancellazione automatica dei curricula non chiude la pratica: l’interessato va comunque informato dell’esito entro un mese. Vale per imprese e per enti pubblici che gestiscono selezioni e concorsi, e per i Responsabili che curano piattaforme di reclutamento per conto dei clienti.

Azione pratica: Controlla che la procedura sui diritti degli interessati preveda sempre una risposta scritta entro un mese, anche quando i dati risultano già cancellati, e che le richieste siano tracciate in un registro con data di ricezione, esito e data di risposta.

Per leggere l’articolo completo: https://www.cnil.fr/fr/sanction-non-respect-droits-personnes-extia

• • •

21/09/2026 (Linee guida 04/2026 adottate il 17/09/2026)  |  Fonte: edpb.europa.eu

Sanzione pecuniaria o altro potere correttivo? L’EDPB adotta le Linee guida 04/2026 e apre la consultazione fino al 13 novembre

#EDPB  #sanzioni  #potericorrettivi  #accountability

Il Comitato europeo per la protezione dei dati (EDPB) ha adottato le Linee guida 04/2026 sull’applicazione del potere di infliggere sanzioni amministrative pecuniarie in relazione agli altri poteri correttivi del GDPR (documento del 17/09/2026, comunicato del 21/09/2026). Le autorità dovrebbero seguire cinque passaggi: verificare che la violazione sia punibile con sanzione pecuniaria (GDPR o diritto nazionale); individuare chi ne risponde, titolare o responsabile, secondo chi era vincolato dalla norma violata; accertare dolo o colpa; valutare aggravanti e attenuanti; controllare che la sanzione sia effettiva, proporzionata e dissuasiva. Se la violazione è minore, di norma non si infligge la sanzione pecuniaria e si può adottare un ammonimento; se non lo è, vi è una forte presunzione a favore della sanzione. Il testo, con 14 esempi pratici, sostituisce le linee guida WP29 e completa le Linee guida 04/2022 sul calcolo degli importi.

Perché è rilevante: Il documento non cambia gli importi ma descrive come l’autorità decide se sanzionare: colpa e qualificazione della violazione come minore dipendono anche da ciò che l’organizzazione riesce a dimostrare. Per i Responsabili del trattamento è decisivo il secondo passaggio: risponde chi era vincolato dalla specifica disposizione violata, quindi la ripartizione degli obblighi nel contratto ex art. 28 conta. Per enti e imprese è un testo ancora in consultazione, che può essere modificato.

Azione pratica: Leggi i 14 esempi e valuta se inviare osservazioni entro il 13/11/2026. Nel frattempo verifica che il registro interno delle violazioni documenti per ogni episodio cause, misure correttive e tempi, così da poterne sostenere la natura isolata o minore.

Per leggere l’articolo completo: https://www.edpb.europa.eu/documents/guideline/guidelines-042026-on-the-application-of-the-power-to-impose-administrative_en

• • •

21/09/2026 (Linee guida 3/2025, versione 2.0 adottata il 17/09/2026)  |  Fonte: edpb.europa.eu

Digital Services Act e GDPR: adottata la versione definitiva delle Linee guida EDPB 3/2025

#EDPB  #DSA  #piattaformeonline  #minori

Dopo la consultazione pubblica, l’EDPB ha adottato la versione definitiva (2.0, del 17/09/2026) delle Linee guida 3/2025 sull’interazione tra Digital Services Act (Reg. UE 2022/2065) e GDPR; la versione per la consultazione era dell’11/09/2025. Riguarda i prestatori di servizi intermediari, soprattutto piattaforme online, quando gli obblighi del DSA comportano trattamenti di dati personali: indagini volontarie sui contenuti illegali, meccanismi di segnalazione e reclamo, design ingannevoli, pubblicità, sistemi di raccomandazione, tutela dei minori, rischi sistemici. Tra le indicazioni: le opzioni di raccomandazione vanno presentate in modo equivalente e, quando è attiva quella non basata sulla profilazione, non si devono continuare a raccogliere dati per profilare; per la tutela dei minori (art. 28 DSA) vanno evitati sistemi di verifica dell’età che consentano l’identificazione univoca e la conservazione stabile dell’età stimata; se emergono rischi sistemici, la DPIA è probabilmente obbligatoria.

Perché è rilevante: Riguarda soprattutto imprese che gestiscono piattaforme, marketplace, forum o servizi di hosting, e i fornitori che trattano dati per loro conto come Responsabili. Per gli enti pubblici la rilevanza è indiretta, ma concreta quando acquistano o integrano servizi di piattaforma, app o sistemi di verifica dell’età.

Azione pratica: Se offri servizi di hosting o una piattaforma online, confronta i flussi di segnalazione, reclamo e raccomandazione con il capitolo 2 delle Linee guida e aggiorna informative e DPIA. Usa il file con le revisioni pubblicato dall’EDPB per individuare i passaggi cambiati rispetto alla bozza.

Per leggere l’articolo completo: https://www.edpb.europa.eu/documents/guideline/guidelines-32025-on-the-interplay-between-the-dsa-and-the-gdpr_en

• • •

24/09/2026 (délibération SAN-2026-012 del 17/09/2026)  |  Fonte: cnil.fr

Consensi acquistati da broker di dati: la CNIL chiude l’ingiunzione a SOLOCAL MARKETING SERVICES ma ricorda chi resta responsabile

#marketing  #consenso  #fornitori  #ingiunzione

Con la délibération SAN-2026-012 del 17/09/2026 la CNIL ha chiuso l’ingiunzione disposta il 15/05/2025 nei confronti di SOLOCAL MARKETING SERVICES, sanzionata allora con 900.000 euro. La società acquista dati di potenziali clienti da broker che li raccolgono tramite concorsi e test di prodotti, e li contatta via SMS o e-mail per conto degli inserzionisti; la CNIL aveva ritenuto ingannevoli i moduli di raccolta e quindi non valido il consenso. L’ingiunzione imponeva di cessare la prospezione elettronica senza consenso valido entro nove mesi, con penalità di 10.000 euro per ogni giorno di ritardo. La società ha introdotto un controllo dei moduli dei partner basato su analisi automatizzata integrata da valutazione umana, ritenuto adeguato: la penalità non è stata applicata. La CNIL precisa però che la società resta responsabile della validità dei consensi raccolti per suo conto dai partner.

Perché è rilevante: Chi utilizza liste o consensi raccolti da terzi non si libera della responsabilità con un contratto o una dichiarazione del fornitore: deve poter dimostrare di aver verificato le modalità di raccolta. È un tema per le imprese che fanno marketing e per gli enti che affidano a terzi campagne informative o raccolte di adesioni.

Azione pratica: Se acquisti o ricevi dati di contatto da terzi, chiedi copia dei moduli di raccolta e delle formule di consenso, verificane la chiarezza a campione e conserva l’esito dei controlli insieme al contratto con il fornitore.

Per leggere l’articolo completo: https://www.cnil.fr/fr/cloture-injonction-solocal-marketing-services

• • •

28/09/2026  |  Fonte: federprivacy.org

Linee guida EDPB 04/2026: la multa non è automatica, ma l’errore ripetuto pesa più dell’episodio isolato

#EDPB  #sanzioni  #accountability  #procedure

Federprivacy commenta le Linee guida 04/2026 adottate dall’EDPB il 17/09/2026, chiarendo che il documento non introduce una nuova disciplina sanzionatoria né nuovi importi: interviene in una fase precedente al calcolo previsto dalle Linee guida 04/2022, cioè la scelta se la sanzione pecuniaria sia lo strumento adatto. L’articolo ripercorre i cinque passaggi e si sofferma sul quarto: alla luce dei fattori dell’art. 83, par. 2, GDPR, se la violazione è minore generalmente non si applica la multa, mentre se non lo è opera una forte presunzione a favore della sanzione. Il commento avverte che l’assenza di dolo non è un’esenzione, perché anche la negligenza basta, e che la distinzione tra episodio isolato e carenza strutturale diventa centrale: se la stessa disposizione viene violata nel tempo, è più difficile sostenere che si tratti di un caso occasionale.

Perché è rilevante: La lettura sposta l’attenzione dalla sola esistenza delle procedure alla prova che vengano applicate, controllate e corrette quando emergono anomalie. È un punto utile sia agli enti pubblici, spesso dotati di regolamenti e istruzioni mai verificati, sia alle imprese che operano come Responsabili per molti clienti.

Azione pratica: Programma per ciascuna procedura privacy chiave (diritti degli interessati, data breach, accessi ai sistemi) un controllo periodico documentato e conserva traccia delle anomalie trovate e delle correzioni adottate.

Per leggere l’articolo completo: https://www.federprivacy.org/informazione/flash-news/linee-guida-04-2026-l-european-data-protection-board-fornisce-i-chiarimenti-sull-applicazione-delle-sanzioni-per-violazioni-del-gdpr

• • •

4. AI Act e uso conforme dell’AI

02/09/2026  |  Fonte: federprivacy.org

Vigilanza sull’IA dopo i decreti di adeguamento: AgID, ACN e Garante, chi controlla cosa

#AIAct  #AgID  #ACN  #governance

Federprivacy analizza l’architettura italiana di vigilanza sull’IA disegnata dallo schema di decreto A.G. 421, approvato in via definitiva dal Consiglio dei ministri il 4 agosto. AgID è autorità di notifica; ACN è autorità di vigilanza del mercato in via generale; Banca d’Italia, CONSOB e IVASS lo sono per i sistemi ad alto rischio del settore finanziario; il Garante lo è nei limiti dell’art. 74, par. 8, dell’AI Act (contrasto, frontiere, giustizia, processi democratici, biometria), conservando i poteri ordinari GDPR. Il nodo segnalato è il concorso di competenze: le norme sulla cooperazione regolano lo scambio di informazioni ma non dicono chi procede quando una stessa condotta viola insieme AI Act e GDPR. L’articolo richiama anche l’art. 40 sul lavoro (decisioni sul rapporto non adottabili solo in modo automatizzato) e il calendario del Reg. (UE) 2026/1744.

Perché è rilevante: Per PA e imprese significa che lo stesso sistema di IA potrà essere esaminato da autorità diverse con strumenti diversi; per i datori di lavoro pubblici e privati l’art. 40 richiede una decisione finale umana effettiva e una motivazione comprensibile al lavoratore. La finestra fino ai termini dell’alto rischio va usata per prepararsi, non come pausa.

Azione pratica: Mappa i sistemi di IA in uso indicando per ciascuno l’autorità che potrebbe vigilare (ACN, autorità di settore, Garante) e verifica che nei processi HR supportati da IA la decisione finale sia presa e motivata da una persona con potere effettivo.

Per leggere l’articolo completo: https://www.federprivacy.org/informazione/primo-piano/due-autorita-tre-regolamenti-il-perimetro-della-vigilanza-sull-intelligenza-artificiale-dopo-i-decreti-di-adeguamento

• • •

03/09/2026  |  Fonte: federprivacy.org

AI Act, la Commissione europea avvia i primi controlli: richieste di informazioni a oltre 30 società

#AIAct  #AIOffice  #GPAI  #enforcement

Dopo l’avvio, dal 2 agosto 2026, dei poteri di enforcement dell’AI Office sui modelli di IA per finalità generali, la Commissione europea ha inviato richieste di informazioni a più di trenta società di intelligenza artificiale. Lo ha confermato il portavoce Thomas Regnier nel briefing quotidiano con la stampa, precisando che si tratta di semplici richieste di informazioni e non di contestazioni o provvedimenti sanzionatori, e che i nomi delle società non saranno resi noti in questa fase iniziale. Le richieste riguardano due aree principali; secondo il bollettino di settembre di CDT Europe si tratta di sicurezza dei modelli e obblighi in materia di diritto d’autore. La Commissione ha inoltre riferito contatti con OpenAI e Anthropic sui rischi di cybersicurezza dei loro modelli, senza chiarire se siano tra i destinatari delle richieste.

Perché è rilevante: Le richieste riguardano i grandi fornitori di modelli, non direttamente enti e imprese utilizzatrici. Ma chi integra questi modelli in servizi propri dipende dalla loro conformità: l’avvio dei controlli è un motivo in più per chiedere ai fornitori documentazione e impegni contrattuali.

Azione pratica: Nei contratti e negli ordini per servizi basati su modelli di IA generativa, chiedi al fornitore di dichiarare quale modello utilizza, se il fornitore del modello aderisce al codice di buone pratiche GPAI e come ti informerà di eventuali richieste o misure delle autorità che incidano sul servizio.

Per leggere l’articolo completo: https://www.federprivacy.org/informazione/primo-piano/artificial-intelligence-act-la-commissione-ue-avvia-i-primi-controlli-richieste-di-informazioni-a-oltre-30-societa

• • •

15/09/2026 (d.lgs. 9 settembre 2026, n. 160, GU n. 214 del 15/09/2026, in vigore dal 30/09/2026)  |  Fonte: gazzettaufficiale.it

AI Act, in Gazzetta il d.lgs. n. 160/2026: regole per l’IA nelle attività di polizia e per il riconoscimento facciale a posteriori

#AIAct  #riconoscimentofacciale  #videosorveglianza  #entilocali

È in Gazzetta il primo dei due decreti di adeguamento all’AI Act approvati il 4 agosto: il d.lgs. 9 settembre 2026, n. 160. Titolo I, IA delle Forze di polizia: l’identificazione biometrica remota in tempo reale è ammessa solo per le finalità indicate, su autorizzazione del procuratore della Repubblica (art. 8) o del GIP (nuovo art. 359-ter c.p.p.), per massimo quindici giorni prorogabili, con banche dati di confronto formate ad hoc e mai alimentate da scraping non mirato. Servono prima la valutazione d’impatto sui diritti fondamentali e la DPIA; i log si conservano cinque anni e l’uso va notificato al Garante (art. 9). Per il riconoscimento facciale a posteriori sulla videosorveglianza (art. 10) titolare è il Ministero dell’interno, i dati restano sette giorni nella base locale, l’uso non mirato è vietato e nessuna decisione negativa può fondarsi solo sull’esito del sistema.

Perché è rilevante: Per i Comuni il punto è l’art. 10, comma 13: all’installazione e manutenzione delle componenti di IA possono provvedere anche gli enti locali per le proprie piattaforme di videosorveglianza, con comodato gratuito alla questura che ne acquisisce la disponibilità completa ed esclusiva. Le regole operative di dettaglio sono rinviate a decreti del Ministro dell’interno, sentito il Garante.

Azione pratica: Se il tuo ente ha ricevuto o riceverà richieste di integrare telecamere comunali con componenti di riconoscimento facciale, non procedere senza un accordo scritto che definisca ruoli privacy, sicurezza e gestione del comodato, e attendi i decreti attuativi previsti dall’art. 10, comma 12. Aggiorna il registro dei trattamenti della videosorveglianza se l’impianto viene condiviso con le Forze di polizia.

Per leggere l’articolo completo: https://www.gazzettaufficiale.it/eli/id/2026/09/15/26G00179/sg

• • •

15/09/2026 (d.lgs. 9 settembre 2026, n. 160, Titolo II, artt. 11-20)  |  Fonte: gazzettaufficiale.it

IA ad alto rischio: nuovo reato (art. 437-bis c.p.), responsabilità 231 e presunzione del nesso causale nelle cause di risarcimento

#AIAct  #responsabilitàcivile  #231  #imprese

Il Titolo II del d.lgs. n. 160/2026 introduce l’art. 437-bis c.p., che punisce con la reclusione da uno a cinque anni chi omette le misure tecniche di sicurezza o di sorveglianza umana previste per progettazione, addestramento, produzione e immissione sul mercato di sistemi di IA ad alto rischio, quando ne deriva pericolo per la vita o l’incolumità; è punito anche l’utilizzatore professionale che omette intenzionalmente la sorveglianza umana. L’art. 15 inserisce nel d.lgs. 231/2001 l’art. 25-vicies (sanzioni pecuniarie e interdittive per l’ente). Sul piano civile (artt. 16-20) il giudice può ordinare l’esibizione di log, documentazione sulla gestione del rischio, documentazione tecnica e parametri di supervisione umana; se il danno deriva dalla violazione di obblighi dell’AI Act il nesso causale è presunto, salvo prova contraria, e la certificazione di conformità non esclude da sola la responsabilità. Il danneggiato ha azione diretta verso l’assicuratore.

Perché è rilevante: Per le imprese che sviluppano o usano professionalmente sistemi ad alto rischio la documentazione prevista dall’AI Act diventa materiale probatorio: se manca o non viene esibita, il giudice può ritenere ammessi i fatti allegati dal danneggiato. Per le PA il tema riguarda soprattutto i fornitori e i contratti di acquisto di soluzioni di IA.

Azione pratica: Aggiorna il modello organizzativo 231 con il nuovo reato presupposto e verifica che i contratti con i fornitori di IA prevedano consegna e conservazione di log, documentazione tecnica e istruzioni sulla sorveglianza umana. Censisci quali sistemi in uso potrebbero rientrare tra quelli ad alto rischio, tenendo conto del calendario differito dall’Omnibus IA.

Per leggere l’articolo completo: https://www.normattiva.it/eli/id/2026/09/15/26G00179/ORIGINAL

• • •

16/09/2026 (parere n. 624 del 16/09/2026, reso noto con newsletter n. 552 del 30/09/2026)  |  Fonte: garanteprivacy.it

Lavoro tramite piattaforme digitali: parere favorevole con rilievi del Garante su algoritmi e supervisione umana

#lavoro  #gestionealgoritmica  #piattaformedigitali  #Garante

Il Garante ha espresso parere favorevole, con rilievi, sullo schema di decreto legislativo che recepisce la direttiva (UE) 2024/2831 sul lavoro mediante piattaforme digitali, con particolare attenzione ai rider (parere n. 624 del 16 settembre 2026). La direttiva punta a trasparenza, equità, supervisione umana, sicurezza e responsabilità nella gestione algoritmica del lavoro. Lo schema affida all’Ispettorato nazionale del lavoro l’accertamento e le sanzioni, anche per la supervisione umana dei sistemi di monitoraggio e decisionali automatizzati e per le decisioni di limitazione, sospensione o chiusura dell’account. Il Garante segnala il rischio di un doppio binario sanzionatorio, perché obblighi come DPIA, trasparenza degli algoritmi, supervisione umana e sicurezza sono già previsti e sanzionati dal GDPR, e propone una clausola di assorbimento basata su specialità e proporzionalità o un coordinamento dei procedimenti tra Ispettorato e Garante.

Perché è rilevante: Riguarda direttamente le piattaforme e le imprese che organizzano il lavoro con algoritmi, ma il principio vale per chiunque usi sistemi automatizzati per assegnare turni, valutare o sospendere lavoratori: le stesse scelte possono essere esaminate sia sotto il profilo lavoristico sia sotto quello della protezione dei dati.

Azione pratica: Se assegni, valuti o sospendi lavoratori o collaboratori tramite sistemi automatizzati, verifica di avere una DPIA aggiornata, un’informativa che spieghi la logica del sistema e una procedura documentata di revisione umana delle decisioni più incisive.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10297373

• • •

30/09/2026  |  Fonte: lentepubblica.it

Riconoscimento facciale e IA nel d.lgs. 160/2026: log, prova digitale e ruolo degli enti locali

#entilocali  #videosorveglianza  #log  #provadigitale

Lentepubblica legge il d.lgs. n. 160/2026 (GU n. 214 del 15/09/2026) dal punto di vista di chi dovrà dimostrare come un sistema di IA è arrivato a un risultato. Un ‘match’ del riconoscimento facciale non chiude un’indagine ma la apre: il decreto vieta che effetti giuridici negativi derivino solo dall’output del sistema e impone log non modificabili, conservati cinque anni, per ogni utilizzo dell’identificazione biometrica in tempo reale e per gli accessi ai sistemi di videosorveglianza con riconoscimento facciale. Sul versante civile, l’accesso alle prove consente al giudice di ordinare l’esibizione di registri e documentazione sulla gestione dei rischi. L’articolo dedica un paragrafo agli enti locali che possiedono infrastrutture di videosorveglianza, richiamati espressamente dalla norma per l’installazione e la manutenzione delle componenti di IA, con comodato alla questura.

Perché è rilevante: Per Comuni e Unioni di comuni la lettura è utile perché sposta l’attenzione dalla tecnologia alla tracciabilità: chi gestisce l’infrastruttura dovrà saper documentare accessi, manutenzioni, versioni del software e ruoli. Per le imprese fornitrici di sistemi di videosorveglianza evoluta è un’indicazione di cosa verrà chiesto in sede di verifica.

Azione pratica: Verifica con il fornitore della videosorveglianza comunale quali log di accesso e di manutenzione vengono generati, dove sono conservati e per quanto tempo, e coinvolgi il DPO prima di qualsiasi integrazione con moduli di analisi biometrica.

Per leggere l’articolo completo: https://lentepubblica.it/pa-digitale/riconoscimento-facciale-e-ia-cosa-prevede-il-d-lgs-160-2026/

• • •

5. Giurisprudenza

03/09/2026 (conclusioni AG Szpunar, causa C-661/24, comunicato n. 117/26)  |  Fonte: curia.europa.eu

Conservazione dei dati di traffico: l’Avvocato generale Szpunar boccia la legge belga del 2022

#CGUE  #dataretention  #ePrivacy  #comunicazionielettroniche

Nota: il comunicato è stato letto nella versione inglese; da verificare l’eventuale disponibilità della versione italiana (cp260117it.pdf). Il collegamento con l’art. 132 del Codice privacy è una valutazione redazionale, non contenuta nel comunicato.

Il 3 settembre 2026 l’Avvocato generale Maciej Szpunar ha presentato le conclusioni nella causa C-661/24 (Académie Fiscale e a.), rinvio della Corte costituzionale belga sulla legge del 2022 relativa alla raccolta e conservazione dei dati di traffico e di ubicazione da parte dei fornitori di comunicazioni elettroniche. La conservazione è un’ingerenza ammessa solo se prevista per legge, strettamente necessaria e proporzionata. L’Avvocato generale ipotizza che una conservazione generalizzata possa essere ammessa, a condizioni rigorose, solo con modalità tecniche che separino davvero le categorie di dati e ne impediscano l’uso combinato. La legge belga, invece, consente di conservare un insieme molto ampio di dati senza tali garanzie e lascia ai fornitori la scelta su quali dati tenere e per quanto: per questo, secondo l’Avvocato generale, viola la direttiva 2002/58. Le conclusioni non vincolano la Corte.

Perché è rilevante: La futura sentenza inciderà sulle regole nazionali di conservazione dei dati di traffico, compreso l’art. 132 del Codice privacy, e quindi sugli obblighi degli operatori e sulle richieste di acquisizione da parte delle autorità. Per gli operatori e i loro Responsabili del trattamento il punto pratico è che la discrezionalità lasciata ai fornitori sulla scelta dei dati è considerata essa stessa un difetto della norma.

Azione pratica: Se gestisci servizi di comunicazione elettronica, mappa quali dati di traffico e ubicazione conservi, per quali finalità e per quanto tempo, distinguendo ciò che è imposto dalla legge da ciò che conservi per scelta aziendale, e segui l’esito della causa.

Per leggere l’articolo completo: https://curia.europa.eu/site/upload/docs/application/pdf/2026-09/cp260117it.pdf

• • •

07/09/2026 (sentenza CGUE 3 settembre 2026, causa C-798/24)  |  Fonte: federprivacy.org

Corte di giustizia: no alla pubblicazione online senza filtri dei dati di tutti gli azionisti, anche di minoranza

#CGUE  #trasparenza  #registripubblici  #proporzionalità

Con la sentenza del 3 settembre 2026, causa C-798/24 [Jautiva], la Corte di giustizia ha esaminato la legge lettone che rendeva consultabili e scaricabili in blocco, da chiunque e senza identificazione, nome, codice personale, recapiti, numero e valore delle azioni e diritti di voto di tutti gli azionisti delle società per azioni. La Corte afferma che la direttiva 2017/1132 non impone di pubblicare i dati di tutti i soci e che gli artt. 5 e 6 del GDPR, letti alla luce degli artt. 7 e 8 della Carta, ostano a una simile messa a disposizione del pubblico quando l’accesso non è subordinato ad alcuna condizione, come la dimostrazione di un legittimo interesse. È un’ingerenza grave, che consente di profilare il patrimonio delle persone; esistono mezzi meno invasivi, come limitare l’accesso a chi dimostra un interesse legittimo.

Perché è rilevante: Il principio va oltre il diritto societario: ogni volta che una norma o una prassi rende pubblici online dati personali per finalità di trasparenza, la Corte chiede di verificare se la diffusione indiscriminata sia davvero necessaria o se basti un accesso selettivo. Per gli enti pubblici che gestiscono registri, albi ed elenchi consultabili è un criterio di valutazione diretto; per le imprese è una conferma che la trasparenza non giustifica di per sé la diffusione a chiunque.

Azione pratica: Rivedi i registri, gli elenchi e le banche dati che pubblichi online: verifica per ciascun campo se la diffusione a chiunque è prevista da una norma e se è proporzionata, valutando accessi riservati, filtri di ricerca o il blocco dello scaricamento massivo.

Per leggere l’articolo completo: https://www.federprivacy.org/informazione/primo-piano/la-corte-di-giustizia-ue-si-pronuncia-sui-limiti-alla-pubblicazione-dei-dati-personali-degli-azionisti

• • •

08/09/2026 (Cass. civ., sez. I, sentt. nn. 24861/2026 e 24862/2026, depositate il 31/08/2026, rese note a settembre)  |  Fonte: garanteprivacy.it

Termini dei procedimenti del Garante: due nuove sentenze della Cassazione e letture divergenti sui 120 giorni

#Cassazione  #Garante  #sanzioni  #responsabile

Il 31 agosto 2026 la Prima Sezione civile della Cassazione ha depositato le sentenze nn. 24861 e 24862, commentate dal Segretario generale del Garante in un intervento pubblicato l’8 settembre 2026. La n. 24861 (ricorso di una società editoriale contro una sanzione di 20.000 euro) ribadisce che il termine per decidere il reclamo non fa decadere il potere sanzionatorio, che segue un procedimento distinto. La n. 24862 riguarda una società che aveva gestito la sosta a pagamento per il Comune di Formia senza idoneo atto di nomina a responsabile: la Corte afferma che il termine di 120 giorni decorre dal definitivo accertamento, che può richiedere il contraddittorio con il soggetto poi sanzionato. Secondo il Garante i 120 giorni riguardano solo la contestazione; l’Istituto Italiano Privacy (11/09/2026) sostiene invece che la n. 24862 confermi la perentorietà del termine anche per la fase successiva.

Perché è rilevante: Sui tempi entro cui può arrivare una sanzione la questione resta aperta e le interpretazioni divergono, il che pesa sulle strategie difensive. Il caso Formia ricorda inoltre a Comuni e concessionari di servizi che l’assenza di un atto di nomina ex art. 28 GDPR è contestata sia al soggetto esterno sia, potenzialmente, all’ente.

Azione pratica: Se hai un procedimento aperto davanti al Garante, ricostruisci con il legale la cronologia di richieste, risposte e contestazione alla luce di queste sentenze; verifica inoltre che ogni concessionario o gestore esterno di servizi comunali abbia un atto di nomina a Responsabile firmato e aggiornato.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10294426

• • •

14/09/2026 (Cass. civ., sez. I, ord. n. 24998/2026, pubblicata il 04/09/2026)  |  Fonte: giuricivile.it

Data breach INAIL: i 120 giorni del Garante decorrono dall’accertamento, non dalla notifica della violazione

#Cassazione  #databreach  #entipubblici  #sanzioni

Con l’ordinanza n. 24998/2026, pubblicata il 4 settembre 2026, la Prima Sezione civile della Cassazione è intervenuta sul caso Garante contro INAIL relativo ai data breach dello «Sportello virtuale lavoratori», notificati tra il 2019 e il 2020: alcuni utenti avevano potuto visualizzare e in un caso scaricare dati, anche sanitari, di altre persone. Il Garante aveva inflitto 50.000 euro (provv. n. 147 del 28/04/2022); il Tribunale di Roma aveva annullato in parte il provvedimento, facendo decorrere i 120 giorni dalla notifica del breach, e ridotto la sanzione a 20.000 euro. La Cassazione conferma la natura perentoria del termine di 120 giorni per avviare il procedimento sanzionatorio, ma precisa che decorre dall’effettivo accertamento, comprensivo dell’istruttoria, e non dalla notifica ex art. 33 GDPR. Rinvio al Tribunale.

Perché è rilevante: Per un ente pubblico che notifica una violazione, la notifica non fa partire un orologio a proprio favore: l’istruttoria del Garante, con le richieste di chiarimenti, può spostare in avanti il termine. Il caso conferma anche che la tempestività della notifica e la rapidità del rimedio pesano sull’entità della sanzione.

Azione pratica: Conserva in un fascicolo unico per ogni data breach la notifica, le richieste del Garante, le tue risposte con le date e le misure adottate; ti servirà sia per dimostrare la diligenza sia per valutare eventuali eccezioni sui termini.

Per leggere l’articolo completo: https://giuricivile.it/data-breach-i-120-giorni-del-garante-non-partono-dalla-segnalazione/

• • •

16/09/2026 (Cass. civ., sez. I, ord. n. 25117/2026, pubblicata l’08/09/2026)  |  Fonte: giuricivile.it

Foto della cliente nel centro estetico: la firma sul modulo non prova un consenso valido

#Cassazione  #consenso  #immagini  #risarcimento

Con l’ordinanza n. 25117/2026, pubblicata l’8 settembre 2026, la Prima Sezione civile della Cassazione ha cassato con rinvio una sentenza del Tribunale di Pisa. Una cliente di un centro estetico aveva negato la liberatoria per immagini, ma durante una seduta era stata fotografata senza abiti con un tablet; le foto, di cui aveva chiesto la cancellazione, erano rimaste nel cestino del dispositivo. Il Tribunale aveva ritenuto valido un consenso firmato in un’altra pagina del contratto, il «piano dei trattamenti». Per la Corte spetta al titolare provare che il consenso sia libero, specifico, informato e inequivocabile (artt. 4 e 7 GDPR), che la richiesta deve essere chiaramente distinguibile dalle altre clausole e che va verificato se il servizio fosse condizionato a un consenso non necessario e se le foto servissero all’esecuzione del contratto. I motivi sul risarcimento ex art. 82 sono rimasti assorbiti.

Perché è rilevante: Il principio vale per qualunque titolare che inserisce il consenso dentro contratti o moduli multiuso: la firma da sola non basta e l’onere della prova è del titolare. Interessa strutture sanitarie e socio-sanitarie, palestre, centri estetici e, per gli enti pubblici, tutte le modulistiche (scuole, servizi sociali, eventi) in cui si chiede il consenso a foto e riprese.

Azione pratica: Separa nella modulistica la richiesta di consenso per foto e riprese dalle altre clausole, con una scelta autonoma e non precompilata, e verifica che il servizio non sia subordinato a quel consenso; controlla anche che la cancellazione delle immagini sia definitiva, cestino compreso.

Per leggere l’articolo completo: https://giuricivile.it/centro-estetico-foto-alla-cliente-e-privacy-la-cassazione-sul-consenso/

• • •

17/09/2026 (conclusioni AG Spielmann, causa C-317/25, comunicato n. 130/26)  |  Fonte: curia.europa.eu

Consenso al marketing dei «partner»: per l’Avvocato generale serve conoscere l’identità di chi contatta

#CGUE  #marketing  #consenso  #ePrivacy

Nella causa C-317/25 (Groupe Canal +), l’Avvocato generale Dean Spielmann ha presentato il 17 settembre 2026 le sue conclusioni su un caso nato da una sanzione della CNIL di 600.000 euro: Canal+ aveva svolto campagne di marketing elettronico verso circa 3,9 milioni di persone, i cui dati erano stati raccolti da due fornitori di accesso a Internet con un consenso all’uso da parte dei loro «partner», non identificati. Secondo l’Avvocato generale il consenso deve essere libero, specifico, informato e inequivocabile, e per essere informato deve consentire di conoscere l’identità del titolare. Se l’identità di chi svolge il marketing non era nota al momento della raccolta, occorre un nuovo consenso prima dell’inizio della commercializzazione, al più tardi alla prima comunicazione; la possibilità di chiedere la cancellazione non lo sostituisce. Le conclusioni non vincolano la Corte.

Perché è rilevante: Interessa direttamente le imprese che acquistano o noleggiano liste di contatti e quelle che raccolgono consensi «per i partner» o «per soggetti terzi»: se la Corte seguirà questa lettura, quei consensi non basteranno a chi non era indicato per nome. È un tema già al centro dell’attività del Garante sul telemarketing.

Azione pratica: Verifica nei moduli di raccolta e nei contratti di acquisizione di liste se i destinatari dei dati a fini promozionali sono individuati nominativamente; se non lo sono, non fare affidamento su quei consensi e chiedi garanzie documentate al fornitore della lista.

Per leggere l’articolo completo: https://curia.europa.eu/site/upload/docs/application/pdf/2026-09/cp260130it.pdf

• • •

6. Cybersecurity, tecnologie emergenti e segnali

04/09/2026 (articolo; obblighi applicabili dall’11/09/2026)  |  Fonte: cybersecurity360.it

Cyber Resilience Act: dall’11 settembre 2026 i fabbricanti devono segnalare vulnerabilità attivamente sfruttate e incidenti gravi

#CRA  #vulnerabilità  #supplychain  #fornitori

Il Regolamento (UE) 2024/2847 (Cyber Resilience Act) si applica per fasi, come previsto dall’art. 71: il capo IV sugli organismi di valutazione della conformità dall’11 giugno 2026, l’art. 14 sugli obblighi di segnalazione dall’11 settembre 2026, il resto del regolamento dall’11 dicembre 2027. Dall’11 settembre il fabbricante di un prodotto con elementi digitali deve notificare, tramite la piattaforma unica di segnalazione, al CSIRT designato come coordinatore e a ENISA le vulnerabilità attivamente sfruttate e gli incidenti gravi di cui viene a conoscenza: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro 14 giorni dalla disponibilità della misura correttiva (vulnerabilità) o entro un mese dalla notifica (incidenti). Cybersecurity360 propone una roadmap operativa e richiama le linee guida non vincolanti della Commissione, segnalate da ACN il 1° settembre.

Perché è rilevante: Gli obblighi gravano sui fabbricanti, non sugli enti che acquistano: ma software house, produttori di dispositivi e fornitori di soluzioni per la PA devono già avere un processo di segnalazione funzionante. Per i Titolari pubblici è un elemento da valutare negli acquisti, perché un fornitore che gestisce bene le vulnerabilità riduce anche il rischio di data breach.

Azione pratica: Se sei fabbricante, verifica di avere una procedura che consenta il preallarme entro 24 ore e un referente per la piattaforma di segnalazione; se sei un ente acquirente, chiedi ai fornitori di software come adempiono all’art. 14 del CRA e quale periodo di supporto garantiscono.

Per leggere l’articolo completo: https://www.cybersecurity360.it/legal/cyber-resilience-act-l11-settembre-scattano-gli-obblighi-di-segnalazione-cosa-cambia-per-le-aziende/

• • •

11/09/2026 (news ACN; aggiornamento del Tavolo NIS del 18/09/2026)  |  Fonte: acn.gov.it

NIS: online il Vademecum ACN con il calendario degli adempimenti, aggiornato l’elenco dei soggetti e avviata la consultazione sulle misure rafforzate

#NIS2  #ACN  #scadenze  #misuredisicurezza

L’11 settembre ACN ha pubblicato il Vademecum NIS, rivolto ai soggetti inseriti o confermati nell’elenco dei soggetti essenziali e importanti (art. 7, c. 2, d.lgs. 138/2024). Il calendario distingue le scadenze annuali (registrazione dal 1° gennaio al 28 febbraio, aggiornamento delle informazioni dal 15 aprile al 31 maggio, categorizzazione di attività e servizi dal 1° maggio al 30 giugno) da quelle legate all’anno di inserimento: chi è entrato nell’elenco nel 2025 notifica gli incidenti significativi di base da gennaio 2026 e completa le misure di sicurezza di base entro ottobre 2026; chi è entrato nel 2026 notifica da gennaio 2027 e completa le misure entro luglio 2027. Il 18 settembre ACN ha comunicato l’aggiornamento dell’elenco (oltre 2000 registrazioni tardive e circa 2000 istruttorie di revisione) e l’avvio della consultazione sulle misure rafforzate, destinate a integrare e sostituire quelle di base.

Perché è rilevante: Per Comuni, enti e aziende sanitarie che sono soggetti NIS la scadenza di ottobre 2026 sulle misure di base è imminente se l’inserimento risale al 2025. Le misure rafforzate sono ancora in consultazione e non costituiscono un obbligo, ma indicano la direzione dei controlli futuri; per i fornitori ICT è il segnale che i clienti NIS chiederanno evidenze sempre più puntuali.

Azione pratica: Verifica in quale anno l’ente è stato inserito nell’elenco NIS e lo stato di attuazione delle misure di base, documentando le evidenze prima della scadenza di ottobre; segna in agenda la finestra di registrazione 1° gennaio – 28 febbraio 2027.

Per leggere l’articolo completo: https://www.acn.gov.it/portale/w/online-il-vademecum-per-i-soggetti-nis

• • •

17/09/2026 (blog AEPD del 14/09/2026)  |  Fonte: federprivacy.org

Spagna: notificata all’AEPD la prima violazione di dati attribuita a un attacco eseguito da un agente di IA

#IA  #databreach  #analisideirischi  #credenziali

Federprivacy riprende un intervento pubblicato il 14 settembre sul blog dell’autorità spagnola di protezione dei dati (AEPD), che ha ricevuto la prima notifica di una violazione di dati personali in cui l’attacco sarebbe stato condotto da un agente di intelligenza artificiale basato su un noto modello linguistico. Secondo la notifica, l’agente ha cercato vulnerabilità, ha effettuato un accesso riuscito e poi, in modo autonomo, ha individuato e sfruttato falle dell’applicazione fino a modificare dati personali e accedere a fatture. L’AEPD invita alla cautela: le informazioni provengono dall’organizzazione colpita e vanno analizzate, e l’uso di un modello non implica che il modello o il suo fornitore siano stati compromessi. Ne trae però indicazioni operative: includere espressamente gli attacchi assistiti o eseguiti dall’IA nell’analisi dei rischi, rivedere i tempi di risposta e limitare i permessi di account, chiavi API e token.

Perché è rilevante: Il segnale vale per ogni Titolare e Responsabile: se l’attacco viaggia a velocità di macchina, procedure di rilevazione e risposta pensate per attacchi manuali possono non bastare. Le raccomandazioni dell’AEPD restano però quelle di base: conoscere i trattamenti, minimizzare i dati, limitare gli accessi, correggere le vulnerabilità e controllare i fornitori.

Azione pratica: Aggiorna l’analisi dei rischi inserendo lo scenario di attacco automatizzato e verifica che account di servizio, chiavi API e token abbiano solo i permessi strettamente necessari e siano monitorati.

Per leggere l’articolo completo: https://www.federprivacy.org/informazione/mondo/spagna-registrata-la-prima-violazione-di-dati-attribuita-a-un-attacco-eseguito-da-un-agente-di-ai

• • •

18/09/2026 (news Garante, doc. web n. 10297881)  |  Fonte: garanteprivacy.it

Caso Revolut: il Garante chiede alle banche di cercare richieste anomale ricevute dalla stessa casella PEC

#databreach  #PEC  #banche  #socialengineering

Con la news del 18 settembre (doc. web n. 10297881) il Garante ha reso noto di essersi attivato sul caso Revolut, l’istituto che, secondo le ricostruzioni, ha comunicato dati di clienti a un soggetto non autorizzato dando seguito a richieste che apparivano provenire da un’autorità pubblica tramite PEC. L’Autorità ha inviato una comunicazione alla rete dei DPO degli istituti bancari chiedendo di verificare nei propri sistemi l’eventuale presenza di comunicazioni anomale provenienti dalla stessa casella PEC. Se emergono situazioni analoghe, banche e intermediari devono adottare tempestivamente misure per attenuare gli effetti negativi per gli interessati e informare il Garante ai sensi dell’art. 33 del GDPR. Il Garante ha avviato una cooperazione con l’autorità lituana (sede principale di Revolut) e ha contattato il Ministero dell’Interno. La news osserva che la vicenda ha evidenziato alcuni lati deboli delle PEC ufficiali.

Perché è rilevante: Il caso mostra una forma di social engineering che sfrutta la fiducia nel canale istituzionale: la PEC certifica l’invio, non la legittimazione di chi chiede. Il tema riguarda anche le PA, che ricevono richieste di dati da altre amministrazioni e da forze di polizia e sono a loro volta titolari di caselle PEC che, se compromesse, possono essere usate contro terzi.

Azione pratica: Definisci una procedura scritta per le richieste di dati provenienti da autorità: verifica del titolo giuridico e conferma della richiesta tramite un recapito ufficiale diverso da quello di provenienza prima di trasmettere documenti; controlla accessi e autenticazione delle caselle PEC dell’ente.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10297881

• • •

22/09/2026  |  Fonte: enisa.europa.eu

ENISA Threat Landscape 2026: la pubblica amministrazione resta il settore più colpito, ransomware la minaccia a maggior impatto

#ENISA  #threatlandscape  #PA  #ransomware

Il 22 settembre ENISA ha pubblicato il Threat Landscape 2026, che analizza 8.257 incidenti ed eventi osservati nel 2025. Il ransomware resta il tipo di incidente con il maggiore impatto nel breve periodo; il phishing, sempre più supportato da kit e servizi a pagamento e dalla tecnica ClickFix, è la tattica di ingresso più comune. Il 73% delle organizzazioni colpite è un soggetto essenziale o importante secondo la NIS2 e la pubblica amministrazione è il settore più bersagliato (32% dei casi), in larga parte con attacchi DDoS di matrice ideologica (82% degli eventi sul settore). Dove è stato identificato il vettore di un accesso non autorizzato, nel 60% dei casi si trattava dello sfruttamento di una vulnerabilità. ENISA segnala anche l’uso crescente dell’IA da parte degli attaccanti.

Perché è rilevante: Per gli enti pubblici il rapporto conferma un’esposizione strutturale: i DDoS colpiscono soprattutto la disponibilità dei servizi online, mentre ransomware e attacchi alla catena di fornitura colpiscono dati e continuità operativa. Per le imprese fornitrici della PA, la segnalazione sugli attacchi alle dipendenze digitali (supply chain e terze parti) le colloca direttamente nel perimetro di rischio dei clienti.

Azione pratica: Inserisci nella prossima revisione dell’analisi dei rischi gli scenari DDoS sui servizi al cittadino e la compromissione di un fornitore critico, verificando con i fornitori i tempi di applicazione delle patch.

Per leggere l’articolo completo: https://www.enisa.europa.eu/news/exploring-the-evolution-of-the-cyber-threat-landscape-how-dependencies-weaken-our-digital-resilience

• • •

28/09/2026  |  Fonte: acn.gov.it

Operational summary ACN di agosto 2026: 185 incidenti, esposizione dati, defacement e ransomware le minacce più frequenti

#CSIRT  #ACN  #incidenti  #phishing

Con la news del 28 settembre ACN ha pubblicato l’Operational summary relativo ad agosto 2026. Nel mese sono stati registrati 309 eventi cyber e 185 incidenti, valori stabili rispetto a luglio (188 incidenti). Le minacce più frequenti sono state l’esposizione di dati, il defacement dei siti e il ransomware. I settori più colpiti restano manifatturiero (soprattutto ransomware), telecomunicazioni (compromissione di caselle e-mail) e tecnologico (sfruttamento di vulnerabilità). I tre principali vettori di accesso sono stati lo sfruttamento di vulnerabilità, l’uso di credenziali valide già compromesse e la posta elettronica come canale di phishing e spear phishing. Il programma CVE ha pubblicato nel mese 12.719 nuove vulnerabilità, 288 delle quali con Proof of Concept. Il monitoraggio preventivo di ACN ha individuato oltre 9.000 sistemi a rischio di amministrazioni e imprese e ha inviato 8.382 comunicazioni di allertamento.

Perché è rilevante: Il dato più utile per gli enti non è il numero di incidenti ma i vettori: vulnerabilità non corrette e credenziali rubate restano la porta d’ingresso principale, cioè ambiti in cui le misure organizzative di base fanno la differenza. Le migliaia di allerte inviate dal CSIRT indicano che molte organizzazioni ricevono segnalazioni: occorre che qualcuno le legga e le gestisca.

Azione pratica: Verifica chi riceve e gestisce le comunicazioni di allertamento del CSIRT Italia (casella, referente, tempi di presa in carico) e controlla che l’autenticazione a più fattori sia attiva su posta elettronica e accessi remoti.

Per leggere l’articolo completo: https://www.acn.gov.it/portale/w/online-l-operational-summary-di-acn-con-i-dati-e-gli-indicatori-della-minaccia-cyber-in-italia

• • •

28/09/2026  |  Fonte: agendadigitale.eu

Caso Revolut e PEC: verificare il mittente non basta, occorre accertare il titolo giuridico della richiesta

#PEC  #PA  #socialengineering  #accessoaidati

In un approfondimento su Agenda Digitale del 28 settembre, Damiano Fuschi (diritto pubblico, Università di Milano) analizza il caso Revolut. Secondo le ricostruzioni citate, il 12 settembre Revolut ha confermato di aver comunicato dati di clienti a un soggetto non autorizzato; le richieste provenivano da una casella PEC autentica, sul dominio legittimo di un’amministrazione pubblica italiana compromessa dagli aggressori, e sarebbero proseguite per circa cinque mesi. La tesi dell’autore è che il problema non sia soltanto tecnico: l’accesso ai dati bancari nel processo penale è ancorato a un atto dell’autorità giudiziaria (artt. 248 e 255 c.p.p.) e la qualità di pubblico ufficiale del mittente, o il suo indirizzo, non è di per sé un titolo sufficiente. Se l’obbligo legale non esiste, la comunicazione è priva di base giuridica ai sensi dell’art. 6, par. 1, lett. c), GDPR.

Perché è rilevante: Il caso riguarda direttamente le PA sotto due profili: una casella PEC istituzionale compromessa può diventare lo strumento per sottrarre dati a terzi, e anche gli enti ricevono richieste di dati da altre autorità. In entrambi i casi la difesa non è solo informatica ma procedurale: chi evade la richiesta deve sapere quale atto la legittima.

Azione pratica: Rafforza la protezione delle caselle PEC dell’ente (credenziali, autenticazione a più fattori dove disponibile, revisione di chi vi accede) e prevedi che ogni richiesta di dati da autorità sia evasa solo dopo aver identificato l’atto che la fonda e averne verificato la provenienza.

Per leggere l’articolo completo: https://www.agendadigitale.eu/sicurezza/revolut-oltre-il-data-breach-il-nodo-delle-garanzie-nelle-banche-digitali/

• • •

7. Approfondimenti metodologici per il DPO

02/09/2026 (Pronto Ordini CNDCEC n. 57/2026 del 05/08/2026)  |  Fonte: federprivacy.org

DPO scelto tra i componenti dell’organo di vertice: possibile solo con misure documentate contro il conflitto di interessi

#DPO  #conflittodiinteressi  #accountability  #entipubblici

Federprivacy riprende il Pronto Ordini n. 57/2026 del 5 agosto 2026, con cui il Consiglio nazionale dei Commercialisti ha risposto all’Ordine di Messina: un consigliere può essere designato DPO dello stesso Ordine? Il parere ricorda che gli Ordini devono nominare il DPO (art. 37, par. 1, lett. a, GDPR) e che non esistono incompatibilità tipizzate, ma il titolare deve assicurarsi che gli altri compiti non generino conflitti di interessi (art. 38, par. 6). Richiamando le Linee guida WP29 e il documento di indirizzo del Garante del 29 aprile 2021, conclude che sedere nell’organo che decide finalità e mezzi crea in linea di principio conflittualità, superabile solo con misure effettive (dichiarazione e astensione) documentate in delibere e atti di nomina. Cita il provv. del Garante del 22 febbraio 2024 (doc. web n. 10006478), che ha ritenuto non conforme una nomina priva di tali misure.

Perché è rilevante: Il principio vale per ogni ente con organi collegiali (Comuni, consorzi, aziende speciali, Ordini) che pensa di affidare il ruolo a un amministratore o a un dirigente apicale. Il punto non è il divieto, ma la prova: senza un’analisi del conflitto messa per iscritto la nomina è contestabile.

Azione pratica: Verifica se il tuo DPO ricopre incarichi decisionali nell’ente; in caso affermativo, formalizza nell’atto di designazione la valutazione del conflitto e le regole di dichiarazione e astensione, e aggiornala quando cambiano incarichi o organigramma.

Per leggere l’articolo completo: https://www.federprivacy.org/informazione/primo-piano/il-consiglio-nazionale-dei-commercialisti-chiarisce-quando-il-consigliere-dell-ordine-puo-fare-il-dpo

• • •

02/09/2026  |  Fonte: federprivacy.org

Anagrafe comunale delle telecamere private: il censimento non rende lecita una ripresa della strada

#videosorveglianza  #entilocali  #sicurezzaurbana  #minimizzazione

Stefano Manzelli confronta due modelli di censimento degli impianti privati di videosorveglianza: Perugia, dove il Regolamento di polizia urbana (art. 30) obbliga i titolari a comunicare entro sessanta giorni ubicazione e referenti degli impianti che non riprendono solo l’interno di abitazioni e pertinenze, e Milano, dove l’adesione all’Anagrafe Telecamere è volontaria e la banca dati non contiene immagini. L’autore dubita che un regolamento comunale possa imporre una prestazione senza base di legge (artt. 23 e 117 Cost., art. 7 TUEL; art. 6, par. 3, GDPR). Soprattutto, l’iscrizione non sana l’impianto: richiamando le Linee guida EDPB 3/2019 e il provv. del Garante n. 84 del 12 febbraio 2026, la ripresa di aree pubbliche da parte di un privato è ammessa solo se necessaria e limitata alle immediate vicinanze, con mascheramento delle zone non pertinenti.

Perché è rilevante: Per i Comuni il tema tocca regolamenti di polizia urbana e patti per la sicurezza: raccogliere dati sugli impianti privati è un trattamento che richiede finalità, minimizzazione, tempi di conservazione e informativa. Per imprese ed esercizi commerciali ricorda che l’angolo di ripresa verso la strada va giustificato e documentato.

Azione pratica: Se il tuo ente ha o progetta un censimento delle telecamere private, verifica la base normativa, riduci i dati raccolti allo stretto necessario e predisponi informativa e regole di accesso; se sei un’impresa, controlla che le telecamere esterne inquadrino solo l’area da proteggere.

Per leggere l’articolo completo: https://www.federprivacy.org/informazione/punto-di-vista/telecamere-private-e-sicurezza-urbana-perugia-obbliga-milano-invita-ma-fino-a-dove-puo-spingersi-il-comune

• • •

10/09/2026 (commento al provv. n. 552 del 23/07/2026)  |  Fonte: federprivacy.org

Mailbox del dipendente assente: il caso Terralba e il ruolo del DPO chiamato a emergenza già in corso

#DPO  #lavoro  #emailaziendale  #privacybydesign

Stefano Manzelli commenta il provv. del Garante n. 552 del 23 luglio 2026 (doc. web n. 10287511), con cui il Comune di Terralba è stato sanzionato per 8.000 euro. Il dipendente addetto agli stipendi era in malattia; dopo vani tentativi di contattarlo, l’ente, consultato il DPO, ha modificato le credenziali e acceduto a pc e casella email, limitandosi ai messaggi istituzionali e verbalizzando le operazioni. Il Garante ha giudicato apprezzabili le cautele ma ha comunque accertato la violazione degli artt. 5, 6, 24, 25 e 88 GDPR e degli artt. 2-ter e 113 del Codice: le alternative (deleghe preventive, caselle condivise, risposte automatiche, procedure per le assenze) andavano predisposte prima. L’autore sottolinea che il DPO informa, consiglia e sorveglia (art. 39 GDPR) ma non autorizza: il suo compito è chiedersi se l’accesso sia legittimo, non solo come renderlo meno invasivo.

Perché è rilevante: Per gli enti pubblici, dove spesso un solo funzionario custodisce pratiche essenziali, il caso mostra che la continuità amministrativa non legittima da sola l’accesso alla casella nominativa. Per i DPO è un promemoria sul rischio di essere coinvolti solo a decisione già presa.

Azione pratica: Adotta una procedura scritta per assenze improvvise o prolungate (delega a un fiduciario, caselle funzionali, cartelle condivise, risposta automatica) e comunicala al personale; chiedi che il DPO sia consultato sulla procedura, non solo sul singolo accesso d’urgenza.

Per leggere l’articolo completo: https://www.federprivacy.org/informazione/primo-piano/accesso-alla-posta-elettronica-del-dipendente-assente-quando-l-emergenza-organizzativa-mette-a-dura-prova-anche-il-dpo

• • •

22/09/2026  |  Fonte: federprivacy.org

Business Impact Analysis, continuità operativa e disaster recovery letti con gli occhi del DPO

#sicurezza  #databreach  #DPIA  #continuitàoperativa

Monica Perego spiega perché BIA, Business Continuity e Disaster Recovery interessano la protezione dei dati. Il punto di partenza è l’art. 32 GDPR, che tra le misure adeguate include la capacità di ripristinare tempestivamente disponibilità e accesso ai dati dopo un incidente. La BIA mappa processi e trattamenti critici, in coerenza con il registro (art. 30), stima l’impatto dell’interruzione anche sugli interessati e fissa parametri come RTO e RPO; il piano di continuità definisce ruoli, alternative operative e test; il DR traduce tutto in procedure di ripristino e verifica dell’integrità dei dati. Un DR senza BIA rischia di proteggere sistemi non prioritari. Una buona capacità di ripristino aiuta a rispettare le 72 ore per la notifica (art. 33) e può ridurre il rischio per gli interessati rilevante ai fini della comunicazione (art. 34). Come riferimento viene richiamata la UNI EN ISO 22301:2019.

Perché è rilevante: Per Comuni, aziende sanitarie e scuole l’indisponibilità dei sistemi (ransomware, guasti del fornitore cloud) è oggi lo scenario di violazione più frequente e incide direttamente sui servizi ai cittadini. Per le imprese che operano come responsabili, l’art. 32 si applica anche a loro: i committenti chiederanno evidenze di piani testati.

Azione pratica: Verifica che per i trattamenti critici del registro siano definiti RTO e RPO e che il piano di ripristino sia stato provato almeno una volta negli ultimi dodici mesi; collega gli esiti della BIA alle DPIA e alla procedura data breach.

Per leggere l’articolo completo: https://www.federprivacy.org/informazione/primo-piano/business-impact-analysis-business-continuity-e-disaster-recovery-nel-trattamento-dei-dati-personali

• • •

28/09/2026 (commento a TAR Veneto, sez. III, sent. n. 1511 del 06/07/2026)  |  Fonte: lentepubblica.it

Accesso agli esposti nei Comuni: il contenuto si mostra, il nome del segnalante va giustificato

#accessoagliatti  #entilocali  #whistleblowing  #minimizzazione

Mattia Robasto, segretario comunale, analizza la sentenza del TAR Veneto, sez. III, 6 luglio 2026, n. 1511 sull’accesso agli esposti che danno avvio a controlli. L’esposto non è sottratto per natura all’accesso documentale (artt. 22 ss. e 24, comma 7, l. 241/1990): chi subisce la verifica può conoscerne fatti e allegati. Ma l’identità del segnalante richiede un interesse ulteriore e concreto, ad esempio elementi circostanziati di falsità o intento ritorsivo. Richiamando l’Adunanza plenaria n. 4 del 18 marzo 2021 e il principio di minimizzazione (art. 5, par. 1, lett. c, GDPR), l’autore indica l’accoglimento parziale con oscuramento selettivo come soluzione fisiologica. Distingue poi l’esposto ordinario dalla segnalazione whistleblowing, per la quale l’art. 12 del d.lgs. 24/2023 vieta di rivelare l’identità e sottrae la segnalazione all’accesso documentale e civico, solo se ricorrono i presupposti del decreto e i canali previsti.

Perché è rilevante: Per i Comuni è una questione quotidiana (edilizia, polizia locale, servizi) che espone sia a un diniego illegittimo sia a una comunicazione eccedente di dati del segnalante. L’articolo offre una sequenza istruttoria utilizzabile direttamente dagli uffici.

Azione pratica: Distingui fin dal protocollo le segnalazioni whistleblowing dagli esposti ordinari e adotta una procedura per le istanze di accesso che preveda la verifica dell’interesse, il coinvolgimento dei controinteressati e un oscuramento che tolga davvero tutti gli elementi identificativi (firma, PEC, qualifica) senza svuotare il contenuto.

Per leggere l’articolo completo: https://lentepubblica.it/pa-digitale/accesso-esposti-pa-conoscere-fatti-non-significa-conoscere-segnalante/

• • •

COSA FARE QUESTO MESE: INDICAZIONI PRATICHE

Una sintesi operativa, in linguaggio semplice, delle azioni concrete suggerite dai provvedimenti e dai segnali del mese.

• Dossier sanitario e fascicoli dei pazienti (aziende sanitarie, strutture private accreditate, RSA): verifica che i profili di accesso siano legati al rapporto di cura, che esistano alert automatici sugli accessi anomali e che il blocco delle postazioni inattive sia differenziato per reparto. Sono le misure che il Garante ha imposto all’azienda friulana con il provv. n. 616.
• Accessi da remoto di utenti esterni (sanità, enti e imprese con consulenti, medici esterni o fornitori collegati ai sistemi): verifica che avvengano solo tramite canale protetto e autenticazione a più fattori, con profili limitati a ciò che serve. Nel caso sanzionato dalla CNIL l’accesso di un attaccante al fascicolo informatizzato ha esposto i dati di oltre cinquecentomila pazienti.
• Videosorveglianza in spogliatoi, palestre e piscine (Comuni, società partecipate, gestori di impianti sportivi): fai un sopralluogo con la planimetria e verifica angoli di ripresa, cartelli e tempi di conservazione; nessuna telecamera deve inquadrare aree in cui le persone si cambiano, anche se le cabine sono escluse dalla ripresa.
• Telecamere e accordo sindacale (datori di lavoro pubblici e privati): confronta l’impianto effettivamente installato con la planimetria allegata all’accordo o all’autorizzazione dell’Ispettorato e comunica al personale anche le attivazioni di prova. Il caso INRIM mostra che il numero e la posizione delle telecamere contano quanto la loro finalità.
• Segnalazioni ricevute fuori dai canali formali (Comuni, enti che controllano partecipate e aziende speciali): stabilisci per iscritto che le comunicazioni con cui una persona riferisce irregolarità non si inoltrano al soggetto interessato con i dati identificativi del segnalante; valuta caso per caso se rientrano nella disciplina del whistleblowing (d.lgs. n. 24/2023).
• Graduatorie e pubblicazioni online (enti pubblici, agenzie per il lavoro, aziende sanitarie): prima di pubblicare elenchi nominativi verifica la norma che lo impone; secondo il Garante l’obbligo di pubblicare le graduatorie finali riguarda i concorsi con bando, non gli avviamenti a selezione. Imposta comunque tempi di permanenza e misure contro l’indicizzazione.
• Opposizione al marketing e piattaforme di invio (banche, assicurazioni, retail, fornitori di piattaforme come responsabili): esegui e documenta un test periodico che verifichi che un’opposizione registrata dal servizio clienti blocchi davvero tutti i canali, compresa la piattaforma esterna. Il caso BBVA dimostra che l’errore tecnico non esclude la responsabilità del titolare.
• Tracking pixel nelle email (chi invia newsletter e campagne, compresi gli enti che misurano le aperture): entro il 29 ottobre 2026 mappa i flussi di posta che usano pixel, aggiorna l’informativa, raccogli il consenso dove richiesto e prevedi la revoca anche selettiva, come indicato dalle Linee guida del Garante del 17 aprile 2026; valuta caso per caso le eccezioni per comunicazioni di servizio.
• Liste di contatti acquistate (imprese che fanno marketing, agenzie): chiedi al fornitore la prova del modulo di raccolta e dell’elenco dei partner mostrato all’interessato, non la sola garanzia contrattuale. La chiusura dell’ingiunzione CNIL a SOLOCAL e le conclusioni dell’Avvocato generale nella causa C-317/25 vanno nella stessa direzione.
• Diritti di accesso e di cancellazione (uffici del personale, HR, servizi clienti): registra le richieste ricevute su ogni canale e rispondi entro un mese; se non le accogli, comunica i motivi e la possibilità di rivolgersi al Garante o al giudice (art. 12, par. 4, GDPR). I casi La Patria (dati GPS dell’auto aziendale) ed EXTIA mostrano che il silenzio costa.
• Richieste di dati da parte di autorità (banche e intermediari, ma anche Comuni, gestori di servizi e fornitori che ricevono richieste via PEC): prima di trasmettere dati verifica il titolo giuridico della richiesta e conferma la provenienza contattando l’ufficio mittente su un recapito ufficiale indipendente, non su quello indicato nel messaggio.
• NIS2 – misure di sicurezza di base (soggetti inseriti nell’elenco nel 2025): calcola il termine di diciotto mesi dalla data della tua comunicazione individuale di inserimento, perché i primi termini maturano da metà ottobre, e raccogli evidenze datate per ogni misura. I soggetti inseriti nel 2026 preparino la designazione del referente CSIRT entro fine anno.
• Fornitori di prodotti con elementi digitali (software house, produttori di dispositivi connessi, fornitori della PA): verifica di avere il processo per le segnalazioni del Cyber Resilience Act operative dall’11 settembre; chi acquista, inserisca nei contratti l’impegno del fornitore a comunicare tempestivamente le vulnerabilità sfruttate.
• Videosorveglianza comunale e riconoscimento facciale (Comuni, Unioni, polizie locali): se ricevi proposte di integrare componenti di IA sulle telecamere comunali, non procedere senza un accordo scritto con la questura che definisca ruoli e responsabilità e senza i decreti attuativi del d.lgs. n. 160/2026; verifica fin d’ora quali log di accesso e manutenzione produce l’impianto.
• IA ad alto rischio e modello 231 (imprese che sviluppano o utilizzano sistemi di IA): valuta con l’organismo di vigilanza l’aggiornamento del modello organizzativo per il nuovo art. 25-vicies del d.lgs. n. 231/2001 e avvia un censimento dei sistemi in uso, tenendo conto che gli obblighi sull’alto rischio si applicano dal 2 dicembre 2027 o dal 2 agosto 2028 secondo la categoria.
• Continuità operativa e analisi del rischio (enti pubblici e fornitori della PA): usa gli scenari del Threat Landscape ENISA (DDoS, ransomware, dipendenze dai fornitori) per verificare che la DPIA e il piano di continuità indichino tempi di ripristino realistici e che i test di ripristino siano stati eseguiti e verbalizzati.
• Social engineering e IA (tutte le organizzazioni): aggiorna la formazione del personale con scenari di attacco basati su strumenti di IA, voci e messaggi plausibili; nessuna modifica di dati, credenziali o coordinate di pagamento va eseguita sulla base di una sola richiesta senza verifica su un canale indipendente.
• Accesso agli esposti e tutela del segnalante (Comuni e uffici che ricevono esposti): distingui nella risposta all’istanza di accesso il contenuto dell’esposto, di regola ostensibile a chi subisce il controllo, dall’identità del segnalante, che richiede una motivazione ulteriore e concreta.
• Consultazioni europee (DPO, associazioni, enti): valuta se inviare osservazioni entro il 30 ottobre sulle Linee guida EDPB 02/2026 (anonimizzazione) e 03/2026 (web scraping) ed entro il 13 novembre sulle Linee guida 04/2026 (sanzioni e poteri correttivi).

 

SCADENZE NORMATIVE IN ARRIVO

Il quadro delle principali scadenze normative che impattano su protezione dati, cybersecurity e intelligenza artificiale. Per ciascuna indichiamo CHI è effettivamente tenuto, così da evitare allarmi inutili a chi non rientra nel perimetro. In evidenza, in alto, i termini più vicini; a seguire l’orizzonte completo per pianificare per tempo gli adempimenti.

 In evidenza: scadenze imminenti (prossimi mesi)

▶ 12/10/2026  –  NIS2 – misure di sicurezza di base (primo ciclo)

Chi è tenuto: Solo i soggetti ESSENZIALI e IMPORTANTI inseriti nell’elenco NIS nel 2025 (PA e imprese). NON riguarda chi è fuori dal perimetro né i soggetti inseriti per la prima volta nel 2026, che hanno termine al 31 luglio 2027.

La Determinazione ACN n. 379907 del 19 dicembre 2025 (art. 3) fissa il termine per adottare le misure di sicurezza di base in diciotto mesi dalla ricezione della comunicazione di inserimento nell’elenco NIS. Poiché l’ACN ha iniziato a inviare le comunicazioni dal 12 aprile 2025, i primi termini scadono dal 12 ottobre 2026 e gli altri nei giorni successivi, secondo la data in cui ciascun soggetto ha ricevuto la propria comunicazione (l’ACN indica genericamente ‘entro ottobre 2026’). Le misure sono 37 con 87 requisiti per i soggetti importanti e 43 con 116 requisiti per gli essenziali. Conta la data della comunicazione ricevuta dal singolo ente o impresa: va recuperata sulla piattaforma ACN.

▶ 29/10/2026  –  Tracking pixel nelle email – Linee guida del Garante

Chi è tenuto: Chi invia comunicazioni di posta elettronica contenenti tracking pixel: imprese che fanno email marketing e newsletter, piattaforme di invio massivo, provider di posta e, in generale, tutti i soggetti che usano questi strumenti, compresi gli enti pubblici che misurano le aperture. Per comunicazioni istituzionali e di servizio sono previste specifiche eccezioni, da valutare caso per caso.

Termine di sei mesi dalla pubblicazione in Gazzetta Ufficiale delle Linee guida adottate con provvedimento del 17 aprile 2026 (doc. web n. 10241943). Nei casi ordinari l’uso dei pixel richiede il consenso preventivo ai sensi dell’art. 122 del Codice privacy, un’informativa chiara e modalità semplici di revoca, anche selettiva. L’attuazione delle Linee guida rientra fra gli ambiti del piano ispettivo del Garante fino a dicembre 2026.

▶ 30/10/2026  –  EDPB – consultazioni su anonimizzazione e web scraping

Chi è tenuto: Aperte a tutti: titolari, responsabili, DPO, associazioni, sviluppatori e fornitori di sistemi di IA che vogliano inviare osservazioni. Nessun obbligo: è un’opportunità di partecipazione.

Termine per le osservazioni sulle Linee guida 02/2026 sull’anonimizzazione e 03/2026 sul web scraping nel contesto dell’IA generativa, in consultazione dall’8 luglio 2026. Le versioni definitive indicheranno i criteri con cui le autorità valuteranno se un dato è davvero anonimo e quando la raccolta di dati dal web per addestrare modelli è lecita.

▶ 13/11/2026  –  EDPB – consultazione sulle sanzioni e gli altri poteri correttivi

Chi è tenuto: Aperta a tutti: titolari, responsabili, DPO, associazioni di categoria ed enti pubblici. Nessun obbligo di partecipazione.

Termine (ore 23:59 CET) per inviare commenti sulle Linee guida 04/2026 sull’applicazione del potere di infliggere sanzioni amministrative pecuniarie in rapporto agli altri poteri correttivi previsti dal GDPR, in consultazione dal 21 settembre 2026. Il documento riguarda il modo in cui le autorità scelgono tra sanzione e altre misure (ammonimento, ingiunzione, limitazione del trattamento): utile da leggere per capire come verranno valutate le violazioni.

▶ 02/12/2026  –  AI Act – marcatura dei contenuti sintetici e nuovi divieti

Chi è tenuto: Marcatura: fornitori di sistemi di IA, anche per finalità generali, che generano audio, immagini, video o testi sintetici e li hanno immessi sul mercato PRIMA del 2 agosto 2026. Divieti: chiunque immetta sul mercato, metta in servizio o USI sistemi di IA che generano o manipolano immagini intime realistiche di persone riconoscibili senza il loro consenso o materiale pedopornografico; riguarda quindi anche gli utilizzatori, PA comprese.

Per effetto del Regolamento (UE) 2026/1744 (Omnibus digitale sull’IA), i fornitori di sistemi generativi già sul mercato prima del 2 agosto 2026 devono conformarsi all’obbligo di marcatura leggibile dalle macchine dell’art. 50, par. 2 (nuovo art. 111, par. 4); dalla stessa data si applicano i nuovi divieti dell’art. 5, par. 1, lettere b bis) e b ter). Per immissione sul mercato e messa in servizio il divieto opera solo se la generazione di tali contenuti è la finalità prevista del sistema oppure ne è un risultato ragionevolmente prevedibile in assenza di misure di sicurezza adeguate (art. 5, par. 1 bis).

▶ 09/12/2026  –  Responsabilità per danno da prodotti difettosi (anche software)

Chi è tenuto: Fabbricanti, importatori e altri operatori economici di prodotti, compreso il software e i servizi digitali correlati; rilevante per le software house e i fornitori di soluzioni digitali e IA. Gli enti pubblici sono interessati come acquirenti e utilizzatori.

Scade il termine di recepimento della Direttiva (UE) 2024/2853, che abroga dalla stessa data la direttiva 85/374/CEE. La nuova disciplina, che qualifica espressamente il software come prodotto (art. 4), si applica ai prodotti immessi sul mercato o messi in servizio DOPO il 9 dicembre 2026; per quelli precedenti continua ad applicarsi la vecchia direttiva (art. 2 e art. 21).

▶ 31/12/2026  –  NIS2 – nuovi soggetti inseriti nel 2026: referente CSIRT

Chi è tenuto: Solo i soggetti inseriti per la PRIMA VOLTA nell’elenco NIS nel corso del 2026 (compresi quelli entrati con l’aggiornamento dell’elenco comunicato dall’ACN il 18 settembre 2026). Non riguarda i soggetti del primo ciclo 2025.

Per i nuovi soggetti l’obbligo di notifica degli incidenti significativi di base decorre dal 1° gennaio 2027 (art. 1, c. 2, Determinazione ACN n. 127434 del 13 aprile 2026); per questo l’ACN indica la necessità di designare il referente CSIRT entro la fine del 2026. Il termine per le misure di sicurezza di base è il 31 luglio 2027.

▶ 12/01/2027  –  Data Act – azzeramento delle tariffe di passaggio cloud

Chi è tenuto: Fornitori di servizi di trattamento dei dati (cloud ed edge). Interessa enti e imprese clienti che vogliono cambiare fornitore o rinegoziare i contratti.

Dal 12 gennaio 2027 i fornitori di servizi di trattamento dei dati non possono più imporre al cliente tariffe di passaggio per il trasferimento ad altro fornitore (art. 29, par. 1, Regolamento (UE) 2023/2854). Fino a quella data sono ammesse solo tariffe ridotte, non superiori ai costi direttamente connessi al passaggio (art. 29, par. 2 e 3). Occasione utile per rivedere le clausole di uscita dei contratti cloud.

▶ 28/02/2027  –  NIS2 – finestra annuale di registrazione

Chi è tenuto: Soggetti pubblici e privati a cui si applica la disciplina NIS: nuova registrazione per chi rientra per la prima volta nel perimetro, aggiornamento per chi è già registrato.

Dal 1° gennaio al 28 febbraio 2027 si svolge sulla piattaforma ACN la registrazione o l’aggiornamento della registrazione dei soggetti NIS, come ricordato dal Tavolo NIS nella riunione comunicata dall’ACN il 18 settembre 2026. È il momento per verificare se dimensioni o attività dell’ente o dell’impresa siano cambiate rispetto all’anno precedente.

▶ 26/03/2027  –  Spazio europeo dei dati sanitari (EHDS)

Chi è tenuto: In questa fase soprattutto Stati membri e autorità nazionali, chiamati a predisporre la governance. Strutture sanitarie, ASL e fabbricanti di sistemi di cartella clinica elettronica hanno obblighi operativi dal 2029 e dal 2031.

Diventa applicabile il Regolamento (UE) 2025/327 sullo spazio europeo dei dati sanitari. Le regole sull’uso primario dei dati (artt. 3-15) e sul riuso per ricerca e politiche pubbliche (capo IV) si applicano invece per fasi: dal 26 marzo 2029 per le prime categorie prioritarie di dati (art. 14, par. 1, lett. a-c) e per il capo IV, dal 26 marzo 2031 per le altre categorie (art. 105).

▶ 31/03/2027  –  Accessibilità – obiettivi annuali della PA

Chi è tenuto: Tutte le pubbliche amministrazioni, tramite il Responsabile per la transizione al digitale. Non riguarda le imprese private.

Termine annuale per pubblicare gli obiettivi di accessibilità previsti dal d.l. n. 179/2012 e dalle Linee guida AgID sull’accessibilità degli strumenti informatici, con la piattaforma AgID Form (form.agid.gov.it). Gli obiettivi riguardano siti, app, intranet, documenti pubblicati, postazioni di lavoro e formazione del personale, insieme allo stato di attuazione del piano per il telelavoro.

 Orizzonte successivo

31/07/2027  –  NIS2 – misure di base per i soggetti inseriti nel 2026

Chi è tenuto: Solo i soggetti inseriti per la prima volta nell’elenco NIS nel 2026.

Termine fisso per adottare le misure di sicurezza di base degli Allegati 1 e 2 della Determinazione ACN n. 379907/2025 (art. 1, c. 1, Determinazione ACN n. 127434 del 13 aprile 2026). Entro la stessa data gestori di registri e fornitori di servizi di registrazione dei nomi di dominio adempiono agli obblighi specifici sui sistemi DNS (art. 2).

02/08/2027  –  AI Act – sandbox nazionali e modelli per finalità generali già sul mercato

Chi è tenuto: Sandbox: Stati membri e autorità competenti; di interesse per fornitori e PA che vogliano sperimentare sistemi di IA in ambiente controllato. Modelli: fornitori di modelli di IA per finalità generali immessi sul mercato prima del 2 agosto 2025.

Entro questa data ogni Stato membro deve rendere operativo almeno uno spazio di sperimentazione normativa per l’IA a livello nazionale (art. 57, par. 1, come modificato dal Regolamento (UE) 2026/1744). Alla stessa data scade il termine entro cui i fornitori di modelli di IA per finalità generali già sul mercato prima del 2 agosto 2025 devono conformarsi agli obblighi del regolamento (art. 111, par. 3).

12/09/2027  –  Data Act – clausole abusive nei contratti già in essere

Chi è tenuto: Imprese parti di contratti sull’accesso e l’uso dei dati conclusi entro il 12 settembre 2025, a tempo indeterminato o con scadenza almeno dieci anni dopo l’11 gennaio 2024.

Il capo IV del Regolamento (UE) 2023/2854 sulle clausole contrattuali abusive imposte unilateralmente, già applicabile ai contratti conclusi dopo il 12 settembre 2025, si estende ai contratti anteriori che siano a tempo indeterminato o scadano almeno dieci anni dopo l’11 gennaio 2024 (art. 50).

30/09/2027  –  IA nelle attività di polizia – d.lgs. n. 160/2026

Chi è tenuto: Solo le Forze di polizia di cui all’art. 16 della legge n. 121/1981 (definizione dell’art. 2 del decreto). La polizia locale dei Comuni non rientra in questa definizione.

Il d.lgs. 9 settembre 2026, n. 160 (GU n. 214 del 15/09/2026, in vigore dal 30/09/2026) prevede che i sistemi di IA già in uso, in sviluppo, in sperimentazione o oggetto di contratti per finalità di polizia siano resi compatibili con le disposizioni del capo II del titolo I entro un anno dall’entrata in vigore (art. 21, c. 1). Per le disposizioni che dipendono dal regolamento europeo valgono i termini del Regolamento (UE) 2024/1689 (art. 21, c. 2).

02/12/2027  –  AI Act – sistemi ad alto rischio (Allegato III)

Chi è tenuto: Solo fornitori e deployer (utilizzatori) di sistemi di IA ad ALTO RISCHIO dell’Allegato III (biometria, infrastrutture critiche, istruzione, lavoro e selezione del personale, accesso a servizi essenziali, contrasto, migrazione, giustizia). Riguarda sia PA sia imprese.

Data di applicazione del capo III, sezioni 1, 2 e 3, per i sistemi ad alto rischio dell’art. 6, par. 2, e dell’Allegato III, fissata dal Regolamento (UE) 2026/1744 (art. 113, terzo comma, lett. c, punto i). I sistemi già sul mercato prima di tale data restano soggetti solo in caso di modifiche significative della progettazione; quelli destinati a essere usati da autorità pubbliche devono comunque essere resi conformi entro il 2 agosto 2030 (art. 111, par. 2).

11/12/2027  –  Cyber Resilience Act – piena applicazione

Chi è tenuto: Fabbricanti, importatori e distributori di prodotti con elementi digitali (hardware e software connessi). NON riguarda gli utilizzatori finali né gli enti pubblici in quanto acquirenti, che ne beneficiano negli acquisti.

Il Regolamento (UE) 2024/2847 si applica integralmente dall’11 dicembre 2027 (art. 71, par. 2), con requisiti essenziali di cibersicurezza e marcatura CE. Gli obblighi di segnalazione di vulnerabilità attivamente sfruttate e incidenti gravi (art. 14) si applicano già dall’11 settembre 2026 e le norme sugli organismi notificati (capo IV) dall’11 giugno 2026.

02/08/2028  –  AI Act – alto rischio nei prodotti regolamentati (Allegato I)

Chi è tenuto: Fabbricanti e fornitori di prodotti soggetti alla normativa di armonizzazione dell’Allegato I (es. dispositivi medici, macchine, giocattoli, ascensori) che integrano sistemi di IA ad alto rischio come componenti di sicurezza.

Data di applicazione del capo III, sezioni 1, 2 e 3, per i sistemi ad alto rischio dell’art. 6, par. 1, e IL NOSTRO TEAM PRIVACY E PROTEZIONE DATI

La rassegna è curata dal team iSimply e Gruppo 2G dedicato a Privacy e protezione dei dati e Trasformazione digitale, a supporto dei Titolari nostri clienti. Ogni mese selezioniamo e verifichiamo le novità più rilevanti – provvedimenti del Garante, atti dell’EDPB e delle istituzioni europee, giurisprudenza, evoluzioni su AI Act e NIS2 e strumenti operativi per il DPO – con un taglio pensato per i Titolari, in particolare Comuni ed enti pubblici, e per le imprese che operano spesso come Responsabili del trattamento.

Il nostro metodo di lavoro è semplice e verificabile: ogni voce nasce dalla lettura diretta della fonte ufficiale, riporta gli estremi del provvedimento e rimanda con un collegamento al testo puntuale, così che possiate risalire in ogni momento al documento originale. Quando un dato non è confermabile lo diciamo, invece di arrotondarlo. La responsabilità editoriale della pubblicazione è di iSimply srl, nella persona del presidente Enrico Capirone. Per approfondimenti su singoli temi, per una verifica sulla vostra organizzazione o per programmare un intervento formativo, il team è a disposizione.

Contatti: info@isimply.it

 

Nota volontaria di trasparenza sull’uso dell’intelligenza artificiale. Questo contenuto è stato predisposto con il supporto di strumenti di IA generativa ed è stato sottoposto a revisione umana sostanziale, verifica delle fonti ufficiali e controllo editoriale. iSimply srl detiene la responsabilità editoriale della pubblicazione. L’art. 50, par. 4, del Regolamento (UE) 2024/1689 prevede che, per i testi generati o manipolati dall’IA e pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico, l’obbligo di rendere nota la natura artificiale del contenuto non si applichi quando il testo sia stato sottoposto a revisione umana o controllo editoriale e una persona fisica o giuridica ne detenga la responsabilità editoriale. iSimply sceglie comunque di rendere trasparente l’impiego di strumenti di IA nel processo redazionale