GDPR e protezione dei dati: rassegna stampa iSimply del mese di luglio

Rassegna stampa GDPR e protezione dei dati a cura di iSimply del mese di luglio 2026

 

EDITORIALE – LUGLIO 2026

Cari custodi della privacy,

luglio 2026 è il mese in cui il sistema delle regole digitali europee ha messo ordine nel proprio calendario e, nello stesso tempo, ha mostrato i muscoli. Da un lato la pubblicazione in Gazzetta Ufficiale dell’Unione del Regolamento (UE) 2026/1744, il Digital Omnibus sull’intelligenza artificiale, ha reso finalmente certe le date dell’AI Act: gli obblighi sui sistemi ad alto rischio slittano al 2027 e al 2028, ma il 2 agosto scattano comunque trasparenza, governance e sanzioni. Dall’altro, il Garante italiano ha firmato uno dei mesi più intensi degli ultimi anni sul fronte dell’enforcement: oltre dodici milioni di euro di sanzioni rese note in poche settimane, dalla vicenda dello scoring nel settore energia al data breach di Wind Tre, fino al data broker Lusha e a Character.AI.

Il filo conduttore che lega questi provvedimenti è uno e vale per tutti: chi decide con i dati deve saper rendere conto delle proprie decisioni. Il caso dello scoring energetico – 7,72 milioni di euro complessivi a Hera Comm, EstEnergy, Cerved ed Experian – dice alle imprese che un punteggio capace di negare una fornitura deve essere spiegabile, verificabile e contestabile; la sanzione a Piaggio sulla posta elettronica dei dipendenti ricorda che la conservazione indiscriminata delle email è un controllo a distanza vietato; quella ad Altroconsumo che un consenso acquisito a metà non è una base giuridica. E la Relazione annuale presentata il 2 luglio alla Camera, con 2.415 data breach notificati e oltre 37 milioni di sanzioni riscosse nel 2025, conferma dove guarderà l’Autorità nei prossimi mesi: intelligenza artificiale, lavoro, minori e sicurezza.

Per i Comuni e gli enti pubblici il mese parla con voce particolarmente chiara. La sanzione al Comune di Vasto sulle telecamere semaforiche insegna che la base giuridica da sola non basta: servono cartelli distinti per finalità distinte, informative raggiungibili, oscuramento dei terzi e una DPIA preventiva. La Città Metropolitana di Sassari paga 12.000 euro per un protocollo informatico configurato male, a conferma che un data breach non richiede un attacco: basta un’abilitazione sbagliata. E mentre il Ministero dell’Interno mette a disposizione 19 milioni di euro per nuovi impianti di videosorveglianza urbana, con domande entro il 24 agosto, i pareri del Garante sui decreti attuativi dell’AI Act tracciano il confine della biometria negli spazi pubblici: niente raccolte massive e preventive, riconoscimento facciale solo per ricerche mirate.

Per le imprese, e per chi opera come Responsabile del trattamento, la lezione di luglio è che la filiera conta quanto il titolare. Wind Tre risponde con 1,7 milioni di euro per un attacco partito da una telefonata ai punti vendita; le sanzioni gemelle sul recupero crediti colpiscono tanto il titolare che non vigila quanto il responsabile che non rendiconta; il divieto di trattamento imposto a Lusha avverte chi acquista liste di contatti che la liceità delle fonti dei fornitori va verificata prima, non dopo. Sul fronte europeo, l’EDPB ha adottato le linee guida sull’anonimizzazione e sul web scraping per l’IA generativa, in consultazione fino al 30 ottobre: molti dataset oggi considerati anonimi potrebbero non superare il nuovo test dei tre criteri.

Un ultimo sguardo ai minori, tema che attraversa tutto il mese: la sanzione a Character.AI pretende sistemi di verifica dell’età che funzionino davvero, e la Francia ha approvato, prima nell’Unione, la legge che vieta i social ai minori di quindici anni, ora al vaglio del Conseil constitutionnel. La direzione è tracciata e riguarda chiunque offra servizi digitali accessibili ai più giovani, scuole e Comuni compresi. In un mese così denso, il nostro compito resta quello di sempre: trasformare il flusso delle notizie in decisioni difendibili, distinguendo ciò che è urgente da ciò che è importante. Per ogni voce troverete il perché è rilevante e l’azione pratica suggerita.

Con stima e fiducia in un domani più sicuro,

Enrico Capirone

Presidente iSimply e Senior Advisor Gruppo 2G

 

 

NOTIZIE IN EVIDENZA

Una selezione ragionata per i Titolari del trattamento, distinta tra enti pubblici (Comuni e PA) e operatori privati, con il rimando alle voci di dettaglio nelle sezioni successive.

 In evidenza per gli enti pubblici (Comuni e PA)

• Comune di Vasto sanzionato (5.000 euro). Telecamere semaforiche senza cartelli idonei, targhe dei terzi non oscurate e DPIA tardiva: la liceità della finalità non esime da trasparenza, minimizzazione e valutazione preventiva. Disposta anche la pubblicazione del provvedimento.
• Protocollo informatico: 12.000 euro alla Città Metropolitana di Sassari. L’errata configurazione rendeva consultabili documenti riservati a personale non autorizzato: l’accesso agli atti protocollati deve essere selettivo, soprattutto nelle migrazioni tra sistemi.
• AI Act italiano: i pareri del Garante sui decreti attuativi. Via libera con condizioni: no al trattamento biometrico generalizzato di chi accede a luoghi ed eventi pubblici, riconoscimento facciale ex post solo per ricerche mirate, divieto di banche dati da scraping.
• Videosorveglianza urbana: 19 milioni per i Comuni. Il decreto del Ministero dell’Interno finanzia nuovi impianti (fino a 250.000 euro a progetto): domande alle Prefetture entro il 24 agosto, ma il progetto deve nascere conforme al GDPR fin dalla DPIA.

 In evidenza per il settore privato (imprese e professionisti)

• Scoring dei clienti: sanzioni per 7,72 milioni di euro. Hera Comm, EstEnergy, Cerved ed Experian sanzionate per un punteggio di affidabilità che decideva l’attivazione delle forniture senza trasparenza su criteri e logica: chi usa lo scoring deve saperlo spiegare.
• Data breach Wind Tre: 1,7 milioni di euro. Falsi tecnici al telefono convincono due punti vendita ad aprire l’accesso ai sistemi: esfiltrati i dati di 365.048 clienti. Il titolare risponde anche delle debolezze della propria rete di vendita.
• Email dei dipendenti: 460.000 euro a Piaggio. Conservazione dei messaggi per tutta la durata del rapporto e cinque anni oltre, con accesso retrospettivo alle caselle di ex dipendenti: un controllo a distanza privo delle garanzie dello Statuto dei lavoratori.
• IA generativa e minori: 158.000 euro a Character.AI. Informativa carente, DPIA tardiva e verifica dell’età non funzionante: il Garante pretende age verification efficace e profili dei minorenni privati per impostazione predefinita.

La rassegna in numeri

Periodo di riferimento: Luglio 2026 (mese solare).

Voci selezionate e verificate: 34

Sezioni tematiche: 7

Fonti consultate: Garante per la protezione dei dati personali, edpb.europa.eu, eur-lex.europa.eu, consilium.europa.eu, curia.europa.eu, digital-strategy.ec.europa.eu, acn.gov.it, agid.gov.it, gazzettaufficiale.it, Federprivacy, Agenda Digitale, Cybersecurity360, Altalex, Lentepubblica, PoliziaMunicipale.it.

 

INDICE

Le sezioni della rassegna di questo mese, con una breve descrizione di cosa contiene ciascuna.

▪  Editoriale del mese — La lettura d’insieme del mese: il filo che lega i provvedimenti e cosa significano per i Titolari pubblici e privati.

▪  Notizie in evidenza — I fatti più importanti del mese, già distinti tra enti pubblici (Comuni e PA) e settore privato.

▪  1. Garante per la protezione dei dati personali – provvedimenti e sanzioni — Un mese di enforcement intenso: Relazione annuale, scoring dei clienti, Wind Tre, Piaggio, Lusha, Character.AI e i provvedimenti che toccano Comuni ed enti.

▪  2. Novità normative italiane ed europee — Il decreto sui finanziamenti per la videosorveglianza urbana e la legge francese che vieta i social ai minori di 15 anni.

▪  3. EDPB e strumenti operativi per il DPO — Anonimizzazione e blockchain, la decisione vincolante sui cookie banner, le linee guida antiriciclaggio in arrivo e la cooperazione tra regolatori.

▪  4. AI Act e uso conforme dell’AI — Il Regolamento (UE) 2026/1744 in Gazzetta, le linee guida sulla trasparenza, i pareri del Garante sui decreti italiani e la scadenza del 2 agosto.

▪  5. Giurisprudenza — Le pronunce del mese: l’accesso ai filmati comunali richiede procura speciale; la CGUE sulla pubblicazione delle squalifiche per doping.

▪  6. Cybersecurity, tecnologie emergenti e segnali — I dati ACN del primo semestre, le vulnerabilità attivamente sfruttate e gli adempimenti NIS2 sulla piattaforma.

▪  7. Approfondimenti metodologici per il DPO — Lezioni operative del mese: telecamere urbane e controllo dei lavoratori, fattore umano, riconoscimento facciale e polizia locale, la checklist di Vasto.

▪  Cosa fare questo mese: indicazioni pratiche — L’elenco operativo delle azioni concrete da mettere in agenda, con scadenze e passi puntuali.

▪  Scadenze normative in arrivo — Il calendario delle principali scadenze (AI Act, NIS2, Data Act, accessibilità, consultazioni EDPB) con l’indicazione di chi è tenuto.

▪  Il nostro Team Privacy e protezione dati — Chi cura la rassegna: il team iSimply e Gruppo 2G, con i contatti.

 

 

1. Garante per la protezione dei dati personali – provvedimenti e sanzioni

02/07/2026  |  Fonte: garanteprivacy.it

Relazione annuale 2025: oltre 37 milioni di sanzioni riscosse, faro su IA, lavoro e data breach

#Garante  #Relazione2025  #databreach  #IA  #ispezioni

Il 2 luglio il Garante ha presentato alla Camera dei Deputati la Relazione sull’attività 2025: 807 provvedimenti collegiali, 506 provvedimenti correttivi e sanzionatori, oltre 37 milioni di euro di sanzioni riscosse, 130 ispezioni e 2.415 data breach notificati (+10% sul 2024), di cui 514 nel settore pubblico, concentrati su Comuni, scuole e sanità. Tra gli interventi più rilevanti dell’anno: la limitazione di DeepSeek, i provvedimenti su deepfake e app di nudificazione, il divieto urgente ad Amazon Italia Logistica per il monitoraggio dei lavoratori, l’attenzione su age verification, sharenting e dati sanitari. La Relazione individua nell’intelligenza artificiale, nella tutela dei minori e nella sicurezza dei dati le direttrici principali dell’azione dell’Autorità.

Perché è rilevante: La Relazione è la mappa più affidabile delle priorità ispettive dei prossimi mesi: gli ambiti che l’Autorità indica come centrali sono, di regola, quelli su cui si concentrano accertamenti e provvedimenti successivi. Videosorveglianza, banche dati pubbliche, lavoro e IA sono proprio i fronti dove Comuni e PMI risultano più esposti.

Azione pratica: Verificare lo stato di adeguamento della propria organizzazione nelle aree segnalate: strumenti di IA in uso, videosorveglianza, gestione dei dati dei lavoratori, procedure di data breach e tutela dei minori.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10266612

• • •

09/07/2026 (provv. n. 487 del 03/07/2026)  |  Fonte: garanteprivacy.it

IA generativa e minori: sanzione di 158.000 euro a Character.AI, prescritta una vera verifica dell’età

#IAgenerativa  #minori  #ageverification  #DPIA  #art27

Con il provvedimento n. 487 del 3 luglio 2026 (doc-web 10269571), reso noto il 9 luglio, il Garante ha sanzionato per 158.000 euro Character Technologies Inc., la società statunitense che gestisce Character.AI, servizio di IA generativa che consente anche ai minorenni di conversare con personaggi virtuali. Accertate carenze nell’informativa (disponibile solo in inglese fino al 27 agosto 2025, nonostante il servizio fosse offerto in italiano), DPIA predisposta solo dopo la richiesta dell’Autorità, tardiva designazione del rappresentante UE ex art. 27 GDPR e criticità nella verifica dell’età e nelle tutele per i minori. Oltre alla sanzione, prescritte misure puntuali: age verification effettivamente funzionante, blocco delle nuove registrazioni dei minori esclusi e profili dei minorenni privati per impostazione predefinita, con obbligo di riscontro entro 120 giorni.

Perché è rilevante: Il provvedimento conferma che il GDPR si applica ai fornitori extra-UE che offrono servizi in Italia e fissa principi validi per chiunque offra o integri IA generativa rivolta al pubblico: DPIA prima del rilascio, informativa comprensibile in lingua, rappresentante UE e tutele per i minori by default. La soglia si alza quando tra gli utenti possono esserci minorenni.

Azione pratica: Censire i servizi di IA generativa in uso o in adozione, verificare informativa, DPIA preventiva e rappresentante UE dei fornitori extra-UE; se il servizio è accessibile a minorenni, valutare i sistemi di verifica dell’età e le impostazioni predefinite dei profili.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10269571

• • •

16/07/2026 (provv. n. 348 del 14/05/2026)  |  Fonte: garanteprivacy.it

Data breach Wind Tre: sanzione di 1.715.600 euro, l’attacco è partito da una telefonata

#databreach  #socialengineering  #sicurezza  #art32  #telco

Con il provvedimento n. 348 del 14 maggio 2026 (doc-web 10263796), reso noto con la newsletter n. 549 del 16 luglio, il Garante ha sanzionato Wind Tre S.p.A. per 1.715.600 euro a seguito di due accessi abusivi che hanno portato all’esfiltrazione dei dati di 365.048 clienti; per 41.359 di essi sono stati sottratti anche dati sui metodi di pagamento (IBAN, bollettini, carte con numero parzialmente oscurato). Gli attaccanti, fingendosi tecnici dell’assistenza, hanno convinto gli operatori di due punti vendita a consentire l’accesso ai sistemi. Accertata la violazione degli artt. 5, par. 1, lett. f) e 32 GDPR per carenze nella gestione di credenziali e certificati digitali; riconosciuto il peso attenuante di notifica tempestiva, misure correttive e collaborazione.

Perché è rilevante: Il titolare risponde anche delle debolezze della propria rete di vendita: formazione degli operatori, robustezza delle credenziali e controllo dei certificati rientrano nelle misure ex art. 32 GDPR. Lo schema dei falsi tecnici è lo stesso già segnalato ai Comuni per la piattaforma ANPR: nessuna organizzazione con sportelli o fornitori esterni può considerarsi estranea.

Azione pratica: Vietare la concessione di accessi ai sistemi sulla base di una semplice telefonata, verificare ogni richiesta di intervento tecnico su un canale indipendente, rafforzare gestione di credenziali e certificati e formare il personale contro il social engineering.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10263796

• • •

16/07/2026 (provv. del 28/05/2026)  |  Fonte: garanteprivacy.it

Recupero crediti: sanzioni gemelle da 50.000 e 30.000 euro a titolare e responsabile

#recuperocrediti  #art28  #responsabile  #accountability  #outsourcing

Con due provvedimenti del 28 maggio 2026, resi noti con la newsletter n. 549 del 16 luglio, il Garante ha sanzionato la società titolare del trattamento (50.000 euro, doc-web 10270836) e la società di recupero crediti responsabile (30.000 euro, doc-web 10270283). Il caso nasce dalla segnalazione di un debitore contattato su un numero di cellulare non più nella sua disponibilità. Il titolare non aveva svolto controlli periodici, documentati e verificabili sull’operato del responsabile; il responsabile non aveva garantito al titolare un quadro esatto e aggiornato delle informazioni raccolte, nemmeno dopo la richiesta dell’interessato sulla provenienza del numero contattato.

Perché è rilevante: La nomina a responsabile ex art. 28 GDPR non è un adempimento formale che esonera il titolare: servono istruzioni precise, flussi informativi tracciati e audit effettivi. Il principio vale per ogni filiera di outsourcing, dal recupero crediti ai servizi informatici, e tocca anche gli enti che esternalizzano la riscossione delle entrate.

Azione pratica: Rivedere i contratti ex art. 28 GDPR prevedendo obblighi effettivi di rendicontazione, programmare controlli periodici documentati sui responsabili e conservare le evidenze delle verifiche svolte.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10270836

• • •

16/07/2026 (provv. del 28/05/2026)  |  Fonte: garanteprivacy.it

Enel Energia: il cliente ha diritto di accedere anche all’audio delle telefonate col call center

#dirittodiaccesso  #art15  #callcenter  #registrazioni  #utility

A conclusione di un procedimento verso Enel Energia S.p.A. (provvedimento del 28 maggio 2026, doc-web 10269277, reso noto con la newsletter n. 549 del 16 luglio), il Garante ha chiarito che la richiesta di accesso ai dati contenuti nelle registrazioni delle chiamate al servizio clienti non può essere respinta invocando genericamente la riservatezza dell’operatore. Il bilanciamento con i diritti dei terzi va condotto caso per caso: la società avrebbe potuto soddisfare la richiesta oscurando i dati identificativi dell’operatore o consegnando la trascrizione della conversazione con gli opportuni oscuramenti, valutando anche misure come il camuffamento della voce. Il diniego generalizzato opposto al cliente è stato censurato.

Perché è rilevante: Il diritto di accesso ex art. 15 GDPR copre anche le registrazioni audio, non solo i dati di sintesi. La decisione ha ricadute immediate per tutte le organizzazioni che registrano le chiamate: utility, banche, assicurazioni, ma anche URP e centralini pubblici.

Azione pratica: Aggiornare le procedure di riscontro alle istanze ex art. 15 GDPR prevedendo modalità di consegna delle registrazioni che tutelino i terzi (trascrizione, oscuramenti) senza negare il diritto; verificare gli accordi con i fornitori dei sistemi di call center.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10269277

• • •

21/07/2026 (provv. del 03/07/2026)  |  Fonte: garanteprivacy.it

Scoring dei clienti energia: sanzioni per 7,72 milioni a Hera Comm, EstEnergy, Cerved ed Experian

#scoring  #trasparenza  #decisioniautomatizzate  #art15  #energia

Con quattro ordinanze ingiunzione del 3 luglio 2026, rese note con il comunicato del 21 luglio (doc-web 10273902), il Garante ha sanzionato Hera Comm S.p.A. (5,8 milioni di euro), EstEnergy S.p.A. (1,4 milioni), Cerved Group S.p.A. (400.000) ed Experian Italia S.p.A. (120.000) per l’uso non conforme di un sistema automatizzato che attribuiva ai potenziali clienti un punteggio di affidabilità in base al quale la fornitura veniva concessa o negata. Le violazioni riguardano trasparenza delle informative, completezza dei riscontri alle richieste di accesso (che non spiegavano criteri e logica del punteggio), rapporti titolare-responsabile e, per Experian, minimizzazione. Ordinate anche misure correttive per rendere lo scoring comprensibile e contestabile.

Perché è rilevante: Il principio va oltre il settore energia: chiunque utilizzi punteggi o processi decisionali automatizzati verso clienti e utenti deve saper spiegare in modo comprensibile criteri e logica, garantire riscontri completi senza rinviare l’interessato ai fornitori dei dati e consentire la rettifica dei dati inesatti. Il tema tocca anche PA e partecipate che usano valutazioni automatizzate su utenti e fornitori.

Azione pratica: Censire i sistemi di scoring e credit check in uso, anche se forniti da terzi; verificare informative, basi giuridiche, catena delle nomine ex art. 28 e procedure di riscontro alle istanze di accesso, includendo la logica delle valutazioni automatizzate.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10273902

• • •

22/07/2026 (ord. n. 457 del 18/06/2026)  |  Fonte: garanteprivacy.it

Telecamere semaforiche: sanzionato il Comune di Vasto, cartelli, oscuramento e DPIA sotto esame

#videosorveglianza  #Comuni  #DPIA  #minimizzazione  #Codicedellastrada

Con l’ordinanza ingiunzione n. 457 del 18 giugno 2026 (doc-web 10267254), pubblicata a luglio, il Garante ha sanzionato per 5.000 euro il Comune di Vasto, disponendo anche la pubblicazione del provvedimento come sanzione accessoria, a seguito del reclamo di un automobilista multato per passaggio col rosso. Tre le violazioni accertate: cartellonistica non dimostrata nel punto dell’infrazione e con finalità cumulate, con informativa estesa di fatto irreperibile (artt. 5, par. 1, lett. a), 12 e 13 GDPR); mancato oscuramento delle targhe dei veicoli estranei all’infrazione (art. 5, par. 1, lett. c)); DPIA effettuata solo dopo l’avvio del trattamento, senza data certa né parere del DPO (art. 35). Ordinati adeguamenti con riscontro entro 30 giorni.

Perché è rilevante: La liceità della finalità (accertare violazioni al Codice della strada) non esonera dai principi: per tutti i Comuni che usano sistemi video sanzionatori servono cartelli distinti per finalità distinte, informativa estesa facilmente raggiungibile, oscuramento automatico dei terzi e DPIA preventiva. Oltre alla sanzione pesano la pubblicazione con il nome dell’ente e il rischio di contestazione dei verbali.

Azione pratica: Censire gli impianti di rilevazione delle infrazioni, verificare cartellonistica e informative per ciascuna finalità, attivare l’oscuramento automatico di targhe e terzi e completare (o rifare) la DPIA con il parere del DPO prima dell’esercizio.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10267254

• • •

27/07/2026 (provv. del 14/07/2026)  |  Fonte: garanteprivacy.it

Data broker: 2 milioni di euro a Lusha e divieto di trattamento dei dati degli interessati in Italia

#databroker  #scraping  #basegiuridica  #marketing  #extraUE

Con comunicato del 27 luglio 2026 (doc-web 10275230) il Garante ha reso nota la sanzione di 2 milioni di euro alla statunitense Lusha Systems Inc. (provvedimento del 14 luglio 2026, doc-web 10275035). La piattaforma vende profili professionali arricchiti con posizione lavorativa, email e numeri di telefono, raccolti anche mediante scraping dai social network e acquisti da altri data broker. Accertata l’assenza di una valida base giuridica, l’Autorità ha vietato il trattamento dei dati degli interessati presenti in Italia e ne ha ordinato la cancellazione, con obbligo di riscontro entro 60 giorni dalla notifica del provvedimento.

Perché è rilevante: Il caso avverte chi acquista liste di contatti o servizi di arricchimento dati: la verifica preventiva della liceità delle fonti dei fornitori non è più rinviabile, pena il coinvolgimento nelle responsabilità. Si salda con la linea europea sul web scraping tracciata dalle nuove linee guida EDPB.

Azione pratica: Mappare i fornitori di liste e servizi di lead enrichment, chiedere evidenza documentale della base giuridica e delle fonti dei dati e sospendere l’uso delle banche dati di provenienza non verificabile.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10275230

• • •

29/07/2026 (ord. n. 426 dell’11/06/2026)  |  Fonte: garanteprivacy.it

Protocollo informatico mal configurato: 12.000 euro alla Città Metropolitana di Sassari

#PA  #databreach  #protocolloinformatico  #privacybydesign  #Comuni

Con l’ordinanza ingiunzione n. 426 dell’11 giugno 2026 (doc-web 10266034), resa nota con la newsletter n. 550 del 29 luglio, il Garante ha sanzionato per 12.000 euro la Città Metropolitana di Sassari. A seguito di una notifica di data breach e del reclamo di una dirigente, è emerso che l’errata configurazione del protocollo informatico – maturata nella migrazione dei sistemi dalla ex Provincia ai nuovi enti – rendeva consultabili da personale non autorizzato documenti contenenti dati personali, compresa una nota riservata a possibile rilevanza disciplinare. Violati, tra l’altro, i principi di integrità e riservatezza e di protezione dei dati fin dalla progettazione; le consultazioni indebite sono state qualificate come comunicazioni di dati prive di base giuridica. Disposta anche la pubblicazione del provvedimento.

Perché è rilevante: Non serve un attacco informatico per avere un data breach: basta un’abilitazione sbagliata, magari ereditata da una migrazione. Il protocollo informatico è il cuore documentale dell’ente e deve garantire accesso selettivo, con procedure differenziate e riservate per gli atti relativi al personale; il contesto organizzativo complesso non vale come esimente.

Azione pratica: Verificare subito le abilitazioni di accesso al protocollo informatico per ruolo e ufficio, prevedere modalità riservate per i documenti del personale e presidiare con collaudi dedicati ogni migrazione o cambio di applicativo documentale.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10266034

• • •

29/07/2026 (provv. n. 476 del 18/06/2026)  |  Fonte: garanteprivacy.it

Email dei dipendenti conservate per anni: sanzione di 460.000 euro a Piaggio

#lavoro  #emaildipendenti  #controlloadistanza  #conservazione  #Statutolavoratori

Con il provvedimento n. 476 del 18 giugno 2026 (doc-web 10272529), reso noto con la newsletter n. 550 del 29 luglio, il Garante ha sanzionato Piaggio & C. S.p.A. per 460.000 euro per la gestione della posta elettronica aziendale. La società conservava in backup le email per tutta la durata del rapporto di lavoro e per ulteriori cinque anni dalla cessazione, con i relativi log per sei mesi, e vi ha attinto retrospettivamente per estrarre, tramite filtri e parole chiave, messaggi di due ex dipendenti. Un sistema giudicato idoneo a ricostruire l’attività dei lavoratori e a realizzare un controllo a distanza privo delle garanzie dello Statuto dei lavoratori, oltre che in contrasto con i principi del GDPR sulla conservazione.

Perché è rilevante: La conservazione generalizzata e prolungata delle email, unita all’accesso retrospettivo alle caselle, resta uno dei fronti sanzionatori più ricorrenti in ambito lavoro e riguarda datori pubblici e privati. Le esigenze difensive non giustificano archivi indiscriminati costruiti in anticipo.

Azione pratica: Rivedere tempi di conservazione di email e log secondo le indicazioni del Garante, regolamentare l’accesso alle caselle (anche degli ex dipendenti) con procedure e garanzie documentate e aggiornare informative e policy interne sull’uso degli strumenti.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10272529

• • •

29/07/2026 (provv. del 18/06/2026)  |  Fonte: garanteprivacy.it

Marketing senza consenso perfezionato: 280.000 euro ad Altroconsumo Edizioni

#marketing  #consenso  #doubleoptin  #basegiuridica  #email

Con provvedimento del 18 giugno 2026 (doc-web 10269624), reso noto con la newsletter n. 550 del 29 luglio, il Garante ha sanzionato Altroconsumo Edizioni per 280.000 euro per l’invio di email promozionali a utenti che non avevano completato la registrazione al sito. La società considerava instaurato il rapporto anche quando l’utente non confermava la creazione dell’account, trattando così i dati in assenza di una base giuridica validamente perfezionata, e ha inoltre gestito con ritardo le richieste di esercizio dei diritti. Oltre alla sanzione, il Garante ha ordinato di cessare il trattamento dei dati di chi non ha confermato l’account e di adeguare le procedure al GDPR.

Perché è rilevante: Un contatto acquisito a metà non è una base giuridica: il perfezionamento effettivo dell’iscrizione, la prova del consenso e i tempi di riscontro agli interessati sono le tre condizioni che il Garante verifica su qualunque lista marketing, di imprese come di enti e associazioni.

Azione pratica: Verificare i flussi di double opt-in dei form di registrazione, ripulire periodicamente le liste dai contatti non confermati e assicurare riscontri tempestivi e tracciati alle istanze degli interessati.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10269624

• • •

29/07/2026 (provv. del 18/06/2026)  |  Fonte: garanteprivacy.it

Aprire l’armadietto dell’ex dipendente e distruggerne il contenuto è trattamento illecito

#lavoro  #datipersonali  #HR  #informativa  #accountability

Con ordinanza ingiunzione del 18 giugno 2026 (doc-web 10268633), pubblicata a luglio, il Garante ha sanzionato per 6.600 euro una società che, dopo la cessazione del rapporto, ha aperto l’armadietto assegnato a una lavoratrice e ne ha distrutto il contenuto senza preavviso. La decisione afferma un principio di ampia portata: gli effetti personali custoditi nell’armadietto raccontano abitudini, preferenze e persino condizioni di salute della persona assegnataria, e la loro apprensione e distruzione costituisce un trattamento di dati personali soggetto al GDPR. La società è incorsa anche nella violazione dell’art. 157 del Codice privacy per non aver risposto alla richiesta di informazioni dell’Autorità.

Perché è rilevante: Il perimetro dei dati personali è più ampio dei soli archivi digitali: anche spazi e beni assegnati ai lavoratori rientrano nelle tutele. Per i datori di lavoro, pubblici e privati, la gestione della cessazione del rapporto va proceduralizzata anche su questi aspetti; non rispondere alle richieste del Garante è un illecito autonomo.

Azione pratica: Regolamentare con informativa preventiva l’uso di armadietti e spazi assegnati e definire procedure chiare di riconsegna alla cessazione del rapporto, con preavviso e verbalizzazione delle operazioni.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10268633

• • •

 

2. Novità normative italiane ed europee

 

22/07/2026  |  Fonte: federprivacy.org

La Francia approva il divieto dei social ai minori di 15 anni, prima nell’UE

#minori  #ageverification  #social  #Francia  #tutela

Come riporta Federprivacy, l’Assemblea nazionale francese ha approvato in via definitiva, il 21 luglio con 279 voti favorevoli e 81 contrari, la legge che vieta l’accesso ai social network ai minori di 15 anni: la Francia è il primo Paese dell’Unione europea a introdurre per legge un divieto di questo tipo. Il testo prevede la decorrenza dal 1° settembre 2026 e la chiusura degli account esistenti degli under 15 entro il 1° gennaio 2027, con esclusione di enciclopedie online e piattaforme educative e l’estensione del divieto di cellulari alle scuole superiori. La legge non è però ancora promulgata: il 24 luglio oltre sessanta deputati hanno adito il Conseil constitutionnel, la cui decisione è attesa entro fine agosto, e l’applicazione resta sospesa a quell’esito. La misura rilancia comunque in tutta Europa il tema della verifica dell’età, su cui anche il Garante italiano è intervenuto da ultimo con il caso Character.AI.

Perché è rilevante: I meccanismi di verifica dell’età stanno rapidamente diventando un requisito di conformità concreto e verificabile, non una clausola nelle condizioni d’uso. Chi offre servizi online accessibili anche a minori – piattaforme, ma anche scuole ed enti locali con servizi digitali – deve attendersi standard crescenti, quale che sia l’esito del giudizio costituzionale francese.

Azione pratica: Verificare le misure di tutela dei minori nei propri servizi digitali (age verification, consensi dei genitori, impostazioni predefinite protettive) e monitorare l’evoluzione normativa europea sulla verifica dell’età.

Per leggere l’articolo completo: https://www.federprivacy.org/informazione/flash-news/la-francia-e-il-primo-paese-dell-ue-a-vietare-i-social-ai-minori-di-15-anni-legge-in-vigore-dal-1-settembre

• • •

23/07/2026  |  Fonte: agendadigitale.eu

Digital Omnibus sull’IA: cosa cambia davvero per le imprese, oltre il rinvio dell’alto rischio

#DigitalOmnibus  #AIAct  #imprese  #PMI  #bias

Su Agenda Digitale, Giacomo Borgognone e Anna Cataleta (P4I) ricostruiscono le novità del Digital Omnibus sull’IA in chiave operativa per le imprese, andando oltre il rinvio delle regole sull’alto rischio. Tra i punti meno noti ma di forte impatto pratico: il nuovo art. 4-bis dell’AI Act, che consente a fornitori e deployer di trattare categorie particolari di dati per individuare e correggere i bias dei sistemi, a condizioni cumulative stringenti (impossibilità di usare dati alternativi, sicurezza rafforzata, cancellazione tempestiva); l’attenuazione dell’obbligo di alfabetizzazione (da ‘garantire un livello sufficiente’ a ‘sostenerne lo sviluppo’); la nuova categoria delle piccole imprese a media capitalizzazione con documentazione semplificata; il rinvio delle sandbox nazionali al 2 agosto 2027 e il termine ultimo del 2 agosto 2030 per i sistemi ad alto rischio già in uso presso autorità pubbliche.

Perché è rilevante: L’art. 4-bis tocca un nodo concreto per chi sviluppa o adotta sistemi di IA: il trattamento di dati particolari per la correzione dei bias diventa possibile ma regolato, e va governato con garanzie documentate. Il termine 2030 per i sistemi già in uso nelle PA è una data che gli enti dovrebbero annotare da subito.

Azione pratica: Aggiornare l’analisi interna sull’AI Act includendo i profili meno visibili del Digital Omnibus: condizioni dell’art. 4-bis per i dati particolari, alfabetizzazione del personale e, per le PA, il censimento dei sistemi ad alto rischio già in uso in vista del termine del 2030.

Per leggere l’articolo completo: https://www.agendadigitale.eu/sicurezza/digital-omnibus-ai-cosa-cambia-davvero-per-le-imprese/

• • •

27/07/2026 (decreto del 22/04/2026)  |  Fonte: gazzettaufficiale.it

Videosorveglianza urbana: 19 milioni di euro ai Comuni, domande alle Prefetture entro il 24 agosto

#videosorveglianza  #Comuni  #finanziamenti  #sicurezzaurbana  #Prefettura

Il decreto del Ministero dell’Interno del 22 aprile 2026, pubblicato in GU Serie Generale n. 120 del 26 maggio 2026 e ora in piena fase attuativa, definisce modalità e criteri di riparto dei 19 milioni di euro destinati a nuovi impianti di videosorveglianza urbana. Possono candidarsi Comuni, unioni e forme associate che hanno sottoscritto un Patto per la sicurezza urbana con la Prefettura, con contributo statale fino a 250.000 euro per progetto; esclusi gli interventi di semplice sostituzione o manutenzione e gli enti beneficiari delle tre precedenti procedure. La selezione avviene per graduatoria, con premialità per piccoli Comuni e gestioni associate. Le domande vanno presentate alla Prefettura territorialmente competente entro il 24 agosto 2026.

Perché è rilevante: Accanto all’opportunità di finanziamento resta fermo l’obbligo di progettare l’impianto in conformità al GDPR: le recenti sanzioni del Garante ai Comuni (da ultimo Vasto) dimostrano che un impianto non conforme può essere fermato e sanzionato, vanificando l’investimento e generando possibili responsabilità erariali.

Azione pratica: Se l’ente intende candidarsi, avviare subito la predisposizione della domanda e integrare nel progetto DPIA preventiva, finalità e base giuridica, cartellonistica, tempi di conservazione e regole di accesso alle immagini, coinvolgendo il DPO dalla stesura.

Per leggere l’articolo completo: https://www.gazzettaufficiale.it/eli/id/2026/05/26/26A02518/sg

• • •

 

3. EDPB e strumenti operativi per il DPO

 

25/06/2026  |  Fonte: edpb.europa.eu

Aggiornato il case digest su diritto di opposizione e diritto alla cancellazione

#EDPB  #dirittidegliinteressati  #art17  #art21  #OneStopShop

Il 25 giugno l’EDPB ha pubblicato l’aggiornamento del case digest One-Stop-Shop dedicato al diritto di opposizione (art. 21 GDPR) e al diritto alla cancellazione (art. 17 GDPR), che raccoglie e sistematizza le decisioni delle autorità di controllo europee nei casi transfrontalieri: il corpus analizzato comprende centinaia di decisioni sui due diritti. Il documento, curato nell’ambito del Support Pool of Experts, mostra come le autorità valutano nella pratica termini di riscontro, motivazioni del diniego e bilanciamento con altri diritti e interessi, offrendo ai titolari un riferimento operativo per la gestione delle istanze degli interessati.

Perché è rilevante: Per chi gestisce volumi significativi di richieste – in particolare nel marketing e nei servizi online – il case digest è uno strumento prezioso per calibrare procedure e risposte sugli orientamenti reali delle autorità, riducendo il rischio di reclami e provvedimenti.

Azione pratica: Far esaminare il case digest a chi gestisce le istanze degli interessati e verificare che le procedure interne di riscontro (tempi, motivazioni, documentazione) siano allineate agli orientamenti raccolti.

Per leggere l’articolo completo: https://www.edpb.europa.eu/news/one-stop-shop-case-digest-on-right-to-object-and-right-to-erasure-updated_en

• • •

01/07/2026  |  Fonte: edpb.europa.eu

EDPB e AMLA: linee guida congiunte in arrivo sulla condivisione di informazioni antiriciclaggio

#antiriciclaggio  #AMLA  #banche  #art75  #condivisionedati

Il 1° luglio l’EDPB e l’Autorità antiriciclaggio europea (AMLA) hanno annunciato lo sviluppo di linee guida congiunte sulle partnership per la condivisione di informazioni prevista dall’art. 75 del Regolamento antiriciclaggio, che sarà applicabile dal 10 luglio 2027. L’obiettivo è chiarire come banche, intermediari e professionisti obbligati potranno scambiarsi informazioni per contrastare i crimini finanziari senza violare il GDPR. È prevista una consultazione pubblica sulla bozza nel primo semestre 2027, preceduta da momenti di ascolto degli stakeholder.

Perché è rilevante: La condivisione di dati tra privati per finalità antiriciclaggio è un’area ad alto rischio sanzionatorio se gestita senza basi giuridiche e garanzie adeguate: le linee guida congiunte definiranno il perimetro entro cui muoversi. I soggetti obbligati e i loro DPO hanno interesse a seguire i lavori fin d’ora.

Azione pratica: Per i soggetti obbligati antiriciclaggio: monitorare i lavori congiunti EDPB-AMLA e mappare fin d’ora i flussi di condivisione di informazioni esistenti o pianificati, verificandone basi giuridiche e garanzie.

Per leggere l’articolo completo: https://www.edpb.europa.eu/news/edpb-and-amla-to-develop-joint-guidelines-on-partnerships-for-information-sharing_en

• • •

08/07/2026  |  Fonte: edpb.europa.eu

Anonimizzazione: le Linee guida 02/2026 fissano il test dei tre criteri; definitive quelle sulla blockchain

#anonimizzazione  #EDPB  #blockchain  #consultazione  #opendata

Nella plenaria del 7-8 luglio l’EDPB ha adottato le Linee guida 02/2026 sull’anonimizzazione, in consultazione pubblica fino al 30 ottobre 2026, insieme alla versione definitiva delle linee guida sul trattamento di dati personali mediante tecnologie blockchain. Le prime aggiornano dopo oltre un decennio il quadro interpretativo del parere WP29 del 2014 e propongono un test basato su tre criteri da soddisfare contemporaneamente – impossibilità di isolare il singolo record, di collegare dati riferiti alla stessa persona e di inferire nuove informazioni – recependo la sentenza CGUE C-413/23 P (EDPS c. SRB): la natura personale o anonima del dato va valutata dalla prospettiva concreta di chi lo tratta. Le linee guida blockchain affrontano ruoli, esercizio dei diritti su registri immutabili e minimizzazione dei dati on-chain.

Perché è rilevante: Molte prassi date per acquisite potrebbero non superare il nuovo test: chi anonimizza basi dati (sanità, ricerca, open data comunali) o dichiara di trattare dati anonimi in DPIA, contratti e informative dovrebbe rivalutare e documentare le proprie tecniche già ora, perché le autorità inizieranno a orientarsi sui nuovi criteri.

Azione pratica: Mappare i dataset trattati come anonimi, verificarne la tenuta rispetto ai tre criteri, conservare la documentazione delle valutazioni e, se utile, inviare osservazioni all’EDPB entro il 30 ottobre 2026.

Per leggere l’articolo completo: https://www.edpb.europa.eu/news/edpb-sheds-light-on-anonymisation-and-web-scraping-for-generative-ai-and-adopts-final-version_en

• • •

14/07/2026 (decisione del 28/05/2026)  |  Fonte: edpb.europa.eu

Cookie banner: con la decisione vincolante 1/2026 l’EDPB impone di decidere nel merito i reclami di noyb

#cookie  #consenso  #noyb  #art65  #trackingpixel

Il 14 luglio l’EDPB ha pubblicato la decisione vincolante 1/2026, adottata il 28 maggio ai sensi dell’art. 65, par. 1, lett. a) GDPR, nella controversia sul reclamo presentato da noyb contro l’emittente pubblica belga VRT per i cookie banner del suo sito. L’autorità belga, capofila, intendeva archiviare il reclamo qualificandolo come abuso del diritto (artt. 77 e 80, par. 1, GDPR), anche in ragione del carattere seriale delle iniziative di noyb; l’EDPB ha accertato che gli elementi oggettivi e soggettivi dell’abuso non erano dimostrati e ha ordinato di esaminare il reclamo nel merito, con un nuovo progetto di decisione ex art. 60, par. 3.

Perché è rilevante: I reclami seriali delle organizzazioni per i diritti digitali sono legittimi e non possono essere accantonati per ragioni procedurali: l’enforcement sui banner di consenso prosegue e può raggiungere chiunque, compresi i soggetti pubblici. In Italia il quadro si completa con le linee guida del Garante su cookie e tracking pixel.

Azione pratica: Verificare che i propri banner offrano un rifiuto altrettanto semplice dell’accettazione, che nessun tracciamento parta prima del consenso, che la revoca sia praticabile e che le scelte siano documentate; estendere il controllo ai pixel nelle email.

Per leggere l’articolo completo: https://www.edpb.europa.eu/news/edpb-requires-belgian-dpa-to-handle-the-merits-of-noyb-cookie-banner-complaint_en

• • •

17/07/2026  |  Fonte: edpb.europa.eu

Da Dublino la richiesta di una base giuridica per lo scambio di informazioni tra regolatori digitali

#EDPB  #enforcement  #cooperazione  #DSA  #AIAct

Al termine della riunione ad alto livello di Dublino del 16-17 luglio, l’EDPB ha chiesto alla Commissione europea di proporre una base giuridica che consenta ai regolatori con competenze diverse – protezione dati, AI Act, servizi digitali, concorrenza – di scambiarsi informazioni anche riservate ai fini dell’enforcement. Le autorità hanno inoltre discusso come rafforzare la cooperazione transfrontaliera e la messa in comune delle risorse, anche in vista del futuro regolamento sulle procedure, e segnalato un aumento dei reclami alimentato dalla diffusione dell’intelligenza artificiale. Il Garante italiano ha dato conto dell’esito con comunicato del 17 luglio.

Perché è rilevante: L’applicazione di GDPR, AI Act, DSA e delle altre norme digitali sarà sempre più coordinata: una stessa condotta potrà essere valutata da più regolatori sotto profili diversi, e una non conformità emersa su un fronte potrà riverberarsi sugli altri. Un elemento da considerare nella gestione di istruttorie e incidenti con impatti multipli.

Azione pratica: Nella pianificazione della compliance e nella gestione dei data breach considerare le interconnessioni tra normative digitali (GDPR, AI Act, DSA, NIS2) e predisporre una regia unitaria delle interlocuzioni con le autorità.

Per leggere l’articolo completo: https://www.edpb.europa.eu/news/edpb-calls-for-legal-basis-for-cross-regulatory-information-sharing_en

• • •

 

4. AI Act e uso conforme dell’AI

 

10/07/2026  |  Fonte: agendadigitale.eu

Web scraping per addestrare l’IA: i paletti delle Linee guida EDPB 03/2026

#webscraping  #IAgenerativa  #legittimointeresse  #EDPB  #addestramento

Su Agenda Digitale, Guido Scorza analizza le Linee guida 03/2026 sul web scraping nel contesto dell’IA generativa, adottate dall’EDPB nella plenaria dell’8 luglio e in consultazione fino al 30 ottobre 2026. Il Comitato conferma che il GDPR si applica pienamente quando la raccolta massiva di dati dal web coinvolge dati personali: la base giuridica di riferimento è di regola il legittimo interesse, ma alle condizioni già delineate nel parere sui modelli di IA del dicembre 2024, con test di bilanciamento documentato, fonti affidabili, validazione dei dati prima dell’uso e misure effettive di minimizzazione. Sui dati particolari ex art. 9 GDPR l’impostazione è severa: il trattamento resta in linea di principio vietato e la raccolta incidentale richiede misure idonee a prevenirne acquisizione e diffusione.

Perché è rilevante: Chi sviluppa modelli o utilizza dataset raccolti dal web – direttamente o tramite fornitori – trova qui lo standard con cui le autorità valuteranno la liceità della raccolta. Il caso Lusha dimostra che l’enforcement su scraping e basi giuridiche è già realtà anche in Italia.

Azione pratica: Mappare l’eventuale uso di dati raccolti dal web nei propri progetti di IA, documentare test di bilanciamento e misure di minimizzazione e chiedere garanzie contrattuali ai fornitori di modelli e dataset.

Per leggere l’articolo completo: https://www.agendadigitale.eu/sicurezza/privacy/web-scraping-per-addestrare-lai-tutti-i-paletti-delledpb/

• • •

20/07/2026  |  Fonte: digital-strategy.ec.europa.eu

Trasparenza IA: le linee guida della Commissione sugli obblighi dell’art. 50, applicabili dal 2 agosto

#AIAct  #trasparenza  #chatbot  #deepfake  #art50

Il 20 luglio la Commissione europea ha pubblicato le linee guida finali sugli obblighi di trasparenza previsti dall’art. 50 dell’AI Act, applicabili dal 2 agosto 2026 e non toccati dai rinvii del Digital Omnibus. Chi fornisce o utilizza chatbot, generatori di contenuti, sistemi di riconoscimento delle emozioni o strumenti in grado di produrre deepfake dovrà informare chiaramente le persone che stanno interagendo con un’IA e marcare i contenuti generati artificialmente in formato leggibile dalle macchine. Alle linee guida si affianca il Codice di buone pratiche sulla trasparenza dei contenuti generati dall’IA, ad adesione volontaria, che offre ai firmatari maggiore certezza sulle modalità di conformità.

Perché è rilevante: La scadenza riguarda anche molte PA e imprese italiane che hanno integrato assistenti virtuali nei propri servizi: l’obbligo di dichiarare l’interazione con una macchina e di etichettare i contenuti sintetici è operativo da subito, a prescindere dal rinvio delle regole sull’alto rischio.

Azione pratica: Censire i sistemi di IA rivolti a utenti e cittadini, predisporre le informazioni di trasparenza e la marcatura dei contenuti generati e valutare, per i fornitori, l’adesione al Codice di buone pratiche.

Per leggere l’articolo completo: https://digital-strategy.ec.europa.eu/en/news/commission-publishes-guidelines-transparency-obligations-providers-and-deployers-certain-ai-systems

• • •

24/07/2026 (in vigore dal 27/07/2026)  |  Fonte: eur-lex.europa.eu

Pubblicato in Gazzetta il Regolamento (UE) 2026/1744: il Digital Omnibus sull’IA è legge

#AIAct  #DigitalOmnibus  #altorischio  #scadenze  #EURLex

Il 24 luglio è stato pubblicato nella Gazzetta ufficiale dell’UE il Regolamento (UE) 2026/1744 dell’8 luglio 2026, che modifica l’AI Act (Reg. 2024/1689) e i regolamenti 2018/1139 e 2023/1230, entrato in vigore il 27 luglio. Diventano così ufficiali le nuove scadenze: gli obblighi sui sistemi di IA ad alto rischio slittano dal 2 agosto 2026 al 2 dicembre 2027 per i sistemi autonomi dell’Allegato III e al 2 agosto 2028 per quelli integrati in prodotti regolamentati. Il regolamento amplia inoltre il catalogo delle pratiche vietate, includendo i sistemi destinati a generare materiale pedopornografico o immagini intime non consensuali (le cosiddette app di nudificazione), con adeguamento entro il 2 dicembre 2026, data in cui scatta anche la marcatura dei contenuti per i sistemi già sul mercato. Ne avevamo dato conto il mese scorso all’approvazione politica: ora il quadro è definitivo.

Perché è rilevante: Le organizzazioni possono finalmente aggiornare i piani di adeguamento su date certe. Il rinvio non è però una sospensione generale: divieti sulle pratiche inaccettabili, alfabetizzazione, obblighi sui modelli per finalità generali e – dal 2 agosto – trasparenza e sanzioni restano pienamente operativi.

Azione pratica: Ricalibrare la roadmap AI Act sulle nuove date, usando il tempo guadagnato sull’alto rischio per censimento dei sistemi, classificazione del rischio e impostazione della governance, senza fermare i percorsi già avviati.

Per leggere l’articolo completo: https://eur-lex.europa.eu/eli/reg/2026/1744/oj/ita

• • •

29/07/2026 (pareri del 14/07/2026)  |  Fonte: garanteprivacy.it

Decreti attuativi dell’AI Act: via libera del Garante con condizioni, paletti su biometria e riconoscimento facciale

#AIAct  #biometria  #riconoscimentofacciale  #governance  #Garante

Con due pareri del 14 luglio 2026, resi noti con la newsletter n. 550 del 29 luglio, il Garante ha dato l’assenso, con condizioni e osservazioni, agli schemi di decreto legislativo che adeguano l’ordinamento italiano all’AI Act in attuazione della legge 132/2025. Il primo schema (doc-web 10275626) definisce la governance nazionale e designa il Garante autorità di vigilanza del mercato per i sistemi ad alto rischio nei settori più delicati: giustizia, attività di contrasto, immigrazione, frontiere e processi democratici. Il secondo (doc-web 10275606) disciplina l’uso dell’IA da parte delle Forze di polizia: l’Autorità ha chiarito che il trattamento automatizzato e generalizzato dei dati biometrici di chi accede a luoghi o eventi pubblici non è coerente con l’AI Act, che ammette il riconoscimento facciale ex post solo per ricerche mirate, e ha chiesto il divieto espresso di banche dati costruite tramite scraping indiscriminato. Gli schemi non sono ancora in vigore.

Perché è rilevante: È un’indicazione chiara della direzione della vigilanza nazionale sull’IA: per Comuni, enti e imprese che pianificano progetti di IA e sicurezza urbana, i paletti su biometria e raccolte massive vanno recepiti subito nelle valutazioni di fattibilità e nelle DPIA, senza attendere l’esito dell’iter parlamentare.

Azione pratica: Nei progetti che toccano videosorveglianza evoluta, biometria o analisi comportamentale, escludere fin d’ora raccolte biometriche massive e preventive e presidiare l’iter dei decreti per adeguare capitolati, DPIA e regolamenti interni.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10275606

• • •

30/07/2026  |  Fonte: agendadigitale.eu

AI Act, cosa entra in vigore il 2 agosto 2026 e cosa slitta: la mappa operativa

#AIAct  #scadenze  #sanzioni  #GPAI  #compliance

Alla vigilia della scadenza, Agenda Digitale pubblica una mappa operativa di ciò che diventa efficace il 2 agosto 2026 e di ciò che slitta per effetto del Digital Omnibus. Dal 2 agosto si applicano gli obblighi di trasparenza dell’art. 50 – chatbot che devono dichiararsi, deepfake e testi generati da etichettare, riconoscimento delle emozioni da segnalare – e diventa operativo il sistema sanzionatorio, con multe fino a 15 milioni di euro o al 3% del fatturato per le violazioni degli obblighi principali. Slittano invece le regole sui sistemi ad alto rischio: 2 dicembre 2027 per l’Allegato III e 2 agosto 2028 per i sistemi integrati in prodotti dell’Allegato I. Restano fermi i divieti già applicabili e gli obblighi di alfabetizzazione.

Perché è rilevante: La lettura distingue con chiarezza ciò che è urgente (trasparenza e governance, da presidiare ora) da ciò che è pianificabile (alto rischio): un errore di calendario in entrambe le direzioni – considerare tutto rinviato o tutto imminente – espone a rischi o a costi inutili.

Azione pratica: Usare la mappa delle scadenze per aggiornare il piano di adeguamento interno e le comunicazioni a direzioni e fornitori, fissando i presidi di trasparenza entro il 2 agosto e pianificando l’alto rischio sul 2027-2028.

Per leggere l’articolo completo: https://www.agendadigitale.eu/sicurezza/ai-act-cosa-entra-in-vigore-dal-2-agosto-2026-e-cosa-slitta/

• • •

 

5. Giurisprudenza

 

13/07/2026 (sent. n. 1491 del 25/05/2026)  |  Fonte: federprivacy.org

TAR Catania: il perito assicurativo accede ai filmati comunali del sinistro solo con procura speciale

#videosorveglianza  #accessoagliatti  #Comuni  #TAR  #sinistri

Come segnala Federprivacy, il TAR Sicilia, sezione staccata di Catania (Sez. I), con la sentenza n. 1491 del 25 maggio 2026 ha chiarito che il perito assicurativo non può ottenere copia delle immagini di videosorveglianza comunale relative a un sinistro stradale sulla sola base dell’incarico professionale o di una procura generale dell’assicurato. Serve una procura speciale, espressamente riferita all’istanza di accesso ai sensi degli artt. 22 e seguenti della legge n. 241/1990, perché i filmati possono riprendere anche passeggeri, pedoni e terzi estranei al sinistro, i cui dati vanno tutelati.

Perché è rilevante: Per i Comuni è un’indicazione operativa immediata: prima di consegnare i filmati occorre verificare sia la legittimazione sostanziale del richiedente sia la presenza di una delega specifica per l’acquisizione delle immagini. Gli uffici di polizia locale gestiscono queste istanze con frequenza crescente.

Azione pratica: Aggiornare le procedure interne di gestione delle istanze di accesso ai filmati (moduli, verifiche di legittimazione, richiesta di procura speciale) e formare gli operatori della polizia locale sul punto.

Per leggere l’articolo completo: https://www.federprivacy.org/informazione/primo-piano/al-perito-assicurativo-serve-una-procura-speciale-per-accedere-alle-immagini-del-sinistro-stradale-riprese-dalle-telecamere-comunali

• • •

16/07/2026 (sent. del 14/07/2026, causa C-474/24)  |  Fonte: curia.europa.eu

CGUE: pubblicare online le squalifiche per doping è compatibile col GDPR, ma serve proporzionalità

#CGUE  #proporzionalità  #pubblicazione  #trasparenza  #sport

Con la sentenza del 14 luglio 2026 nella causa C-474/24 (NADA Austria e a.), la Grande Sezione della Corte di giustizia ha stabilito che gli Stati membri possono in linea di principio prevedere la pubblicazione online di nome, violazione e durata della squalifica degli atleti professionisti sanzionati per doping, in quanto la finalità di lealtà delle competizioni costituisce un interesse generale legittimo. La pubblicazione deve però rispettare il principio di proporzionalità quanto a contenuti, durata e modalità della diffusione, con una valutazione caso per caso; l’interessato può inoltre rivolgersi all’autorità di protezione dei dati prima della pubblicazione. Il tema era stato rimesso dai giudici austriaci.

Perché è rilevante: Il ragionamento interessa ogni soggetto, pubblico o privato, che pubblica provvedimenti o sanzioni riferiti a persone identificabili: ordini professionali, federazioni, enti pubblici alle prese con obblighi di pubblicazione. La finalità di trasparenza o deterrenza non giustifica pubblicazioni indiscriminate o senza limiti temporali.

Azione pratica: Rivedere le prassi di pubblicazione di provvedimenti riferiti a persone fisiche (albo, sito, sezioni trasparenza): basi giuridiche, dati effettivamente necessari, durata della pubblicazione e procedure di deindicizzazione alla scadenza.

Per leggere l’articolo completo: https://curia.europa.eu/site/upload/docs/application/pdf/2026-07/cp260103en.pdf

• • •

 

6. Cybersecurity, tecnologie emergenti e segnali

 

01/07/2026 (chiusura finestra 30/06/2026)  |  Fonte: acn.gov.it

NIS2: categorizzazione di attività e servizi acquisita in via definitiva, calendario a date fisse per i nuovi soggetti

#NIS2  #ACN  #piattaforma  #adempimenti  #soggettiNIS

Il 30 giugno si è chiusa la finestra annuale (aperta il 1° maggio, disciplinata dalla Determinazione ACN n. 155238 del 20 aprile 2026) entro cui i soggetti NIS dovevano caricare sul Portale ACN l’elenco di attività e servizi attribuendo a ciascuno la categoria di rilevanza: per chi non ha completato l’adempimento, l’elenco risulta acquisito come definitivo, senza possibilità di correzione. Prosegue intanto l’attuazione delle Determinazioni ACN n. 127434 e n. 127437 del 13 aprile 2026, che per i soggetti censiti per la prima volta nel 2026 fissano un calendario a date fisse: designazione del referente CSIRT entro il 31 dicembre 2026, obbligo di notifica degli incidenti significativi dal 1° gennaio 2027 e misure di sicurezza di base entro il 31 luglio 2027. Per i soggetti del primo ciclo (2025) resta fermo il termine dei 18 mesi dalla comunicazione di inserimento, che l’ACN colloca operativamente al 31 ottobre 2026.

Perché è rilevante: La piattaforma ACN è ormai il canale attraverso cui si misura la conformità NIS2: posizioni incomplete o non aggiornate diventano definitive e possono emergere in sede ispettiva. I soggetti inseriti per la prima volta nel 2026 devono pianificare budget e responsabilità senza attendere le scadenze; per quelli del 2025 la fase ispettiva è alle porte.

Azione pratica: Verificare subito lo stato della propria posizione sul Portale ACN, conservare le evidenze degli adempimenti e, per i nuovi soggetti 2026, avviare la pianificazione di referente CSIRT, notifiche e misure di sicurezza.

Per leggere l’articolo completo: https://www.acn.gov.it/portale/nis/categorizzazione

• • •

10/07/2026 (settimana del 05/07/2026)  |  Fonte: acn.gov.it

CSIRT Italia: sfruttamento attivo della CVE-2026-12569 su PTC Windchill e FlexPLM

#vulnerabilità  #patch  #CSIRT  #NIS2  #manifattura

Nella Settimana Cibernetica del 5 luglio l’Agenzia per la Cybersicurezza Nazionale ha segnalato lo sfruttamento attivo in rete della vulnerabilità CVE-2026-12569 (punteggio CVSS 9.3) nei software PTC Windchill PDMLink e FlexPLM, molto diffusi nella gestione del ciclo di vita dei prodotti in ambito manifatturiero, che può consentire l’esecuzione di codice da remoto; la campagna è attribuita ad affiliati del gruppo ransomware Cl0p. Segnalati anche aggiornamenti di sicurezza Synology che risolvono vulnerabilità critiche nel componente MailPlus Server di DiskStation Manager, prodotto molto usato anche da PMI ed enti locali per lo storage di rete.

Perché è rilevante: Per i soggetti NIS il monitoraggio dei bollettini ACN e l’applicazione tempestiva delle patch non sono buone pratiche facoltative: rientrano nelle misure di sicurezza di base richieste dall’Agenzia, e la loro omissione pesa in caso di incidente anche sul fronte GDPR (art. 32).

Azione pratica: Verificare la presenza dei prodotti segnalati nel proprio parco applicativo, applicare con priorità le patch delle vulnerabilità attivamente sfruttate e documentare l’avvenuto aggiornamento nel processo di vulnerability management.

Per leggere l’articolo completo: https://www.acn.gov.it/portale/web/guest/-/la-settimana-cibernetica-del-05-luglio-2026

• • •

24/07/2026  |  Fonte: cybersecurity360.it

ACN, primo semestre 2026: 2.171 eventi cyber (+47%), la NIS2 a regime amplia la capacità di rilevazione

#ACN  #minaccecyber  #NIS2  #ransomware  #DDoS

Come riporta Cybersecurity360, i dati diffusi dall’ACN sul primo semestre 2026 fotografano 2.171 eventi cyber gestiti dal CSIRT Italia tra gennaio e giugno, in crescita del 47% sullo stesso periodo del 2025, di cui 1.072 incidenti con impatto confermato. L’aumento è attribuito soprattutto all’ampliamento del perimetro di osservazione determinato dagli obblighi di notifica NIS2, più che a una crescita proporzionale delle minacce: nel semestre i DDoS sono calati del 32% (407 eventi, con picco a febbraio in coincidenza con le Olimpiadi di Milano-Cortina) e i ransomware del 12% (181 casi), mentre le nuove vulnerabilità censite superano quota 37.000 (+54%).

Perché è rilevante: Il sistema delle notifiche NIS2 funziona e viene monitorato: per i soggetti nel perimetro conviene presidiare con cura le procedure interne di rilevazione, classificazione e notifica degli incidenti, che costituiscono ormai un indicatore misurabile di conformità. Il dato sulle vulnerabilità conferma la centralità del patch management.

Azione pratica: Testare le procedure interne di gestione degli incidenti (rilevazione, classificazione, tempi di notifica al CSIRT) e confrontare i propri indicatori con il quadro nazionale per calibrare gli investimenti di sicurezza.

Per leggere l’articolo completo: https://www.cybersecurity360.it/news/acn-nel-primo-semestre-2026-resta-elevata-la-pressione-da-parte-delle-minacce-cyber/

• • •

 

7. Approfondimenti metodologici per il DPO

 

14/07/2026 (provv. del 23/10/2025)  |  Fonte: garanteprivacy.it

Telecamere di sicurezza urbana e controllo dei dipendenti: il caso Curtarolo torna d’attualità

#videosorveglianza  #lavoro  #finalità  #Comuni  #Statutolavoratori

È tornato al centro del dibattito specializzato a metà luglio il provvedimento con cui il Garante ha sanzionato per 15.000 euro il Comune di Curtarolo (ordinanza del 23 ottobre 2025, doc-web 10196164, già pubblicata sul sito dell’Autorità): un sistema di videosorveglianza territoriale attivato senza il preventivo patto per la sicurezza urbana con la Prefettura, senza valutazione d’impatto e con informative carenti, i cui filmati sono stati usati per avviare un procedimento disciplinare contro una dipendente, in violazione della limitazione della finalità e delle garanzie dell’art. 4 dello Statuto dei lavoratori. Richiamiamo il caso – non nuovo, ma metodologicamente esemplare – perché condensa gli errori più frequenti negli impianti comunali.

Perché è rilevante: Le telecamere di sicurezza urbana non possono trasformarsi in strumento di controllo del personale: la finalità dichiarata vincola ogni uso successivo delle immagini. Con i nuovi finanziamenti ministeriali in arrivo, molti Comuni amplieranno gli impianti: è il momento giusto per sistemare le fondamenta giuridiche.

Azione pratica: Verificare per ogni impianto comunale: patto con la Prefettura con aree puntualmente individuate, DPIA preventiva, cartellonistica e informativa estesa aggiornate, e regole scritte che escludano usi delle immagini diversi dalla finalità dichiarata.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10196164

• • •

17/07/2026  |  Fonte: cybersecurity360.it

Il fattore umano al centro della compliance: la lezione metodologica del caso Wind Tre

#fattoreumano  #socialengineering  #formazione  #art32  #accountability

Nel commento al provvedimento Wind Tre, Cybersecurity360 mette a fuoco il passaggio metodologicamente più rilevante della decisione: l’errore umano è una componente fisiologica del rischio che il titolare deve prevedere e presidiare, non un evento eccezionale che esonera da responsabilità. La sicurezza richiesta dall’art. 32 GDPR non si esaurisce nelle difese tecnologiche, ma comprende la formazione degli operatori, la gestione di credenziali, certificati e interfacce di accesso e il controllo dei canali distributivi. Il perimetro di responsabilità del titolare include quindi punti vendita, sportelli e fornitori: ogni punto di contatto umano con i sistemi è una superficie di attacco da governare.

Perché è rilevante: Per i DPO è un cambio di prospettiva utile nelle verifiche periodiche: valutare la sicurezza significa valutare anche procedure organizzative, formazione e resilienza delle persone al social engineering, documentando le misure adottate. Vale per le telco come per i Comuni, già bersaglio dello stesso schema sulla piattaforma ANPR.

Azione pratica: Inserire nei piani di audit interni verifiche periodiche su procedure di identificazione dei richiedenti, gestione delle credenziali nelle sedi periferiche e simulazioni di social engineering, tracciando gli esiti della formazione.

Per leggere l’articolo completo: https://www.cybersecurity360.it/news/sanzione-privacy-a-wind-tre-il-garante-porta-la-cyber-al-centro-della-compliance-gdpr/

• • •

29/07/2026  |  Fonte: lentepubblica.it

Multa valida, trattamento illecito: la doppia lezione del caso Vasto letta per i Comuni

#Comuni  #videosorveglianza  #sanzioniamministrative  #GDPR  #polizialocale

Lentepubblica dedica al caso del Comune di Vasto una lettura operativa rivolta agli enti locali: la validità della sanzione stradale e la liceità del trattamento dei dati corrono su binari distinti, e un verbale legittimo può convivere con una violazione del GDPR che espone l’ente a sanzione e danno reputazionale. L’articolo ripercorre i tre fronti contestati – informative inadeguate, targhe dei terzi non oscurate, DPIA tardiva e incompleta – e sottolinea che l’accertamento delle infrazioni tramite dispositivi automatici è ormai un trattamento ad alto impatto, da progettare con gli stessi presidi richiesti a qualunque sistema di sorveglianza evoluto.

Perché è rilevante: La distinzione metodologica tra legittimità del provvedimento amministrativo e liceità del trattamento è preziosa per i DPO degli enti: difendere il verbale non basta, occorre difendere anche il processo che lo ha generato. Un principio applicabile a ogni procedimento automatizzato della PA.

Azione pratica: Estendere le verifiche privacy a tutti i procedimenti sanzionatori automatizzati dell’ente (autovelox, ZTL, semafori, varchi), documentando per ciascuno informative, minimizzazione e DPIA.

Per leggere l’articolo completo: https://lentepubblica.it/cittadini-e-imprese/multa-per-il-semaforo-rosso-anche-se-valida-il-comune-non-deve-violare-il-gdpr/

• • •

30/07/2026  |  Fonte: poliziamunicipale.it

Riconoscimento facciale e IA: la polizia locale resta ai margini del nuovo assetto, cosa significa per i Comuni

#riconoscimentofacciale  #polizialocale  #AIAct  #sicurezzaurbana  #biometria

La stampa specializzata di settore (PoliziaMunicipale.it) mette a fuoco un profilo critico dello schema di decreto attuativo dell’AI Act sull’uso dell’IA da parte delle Forze di polizia, all’esame del Parlamento: i nuovi poteri su identificazione biometrica e riconoscimento facciale ruotano attorno a figure statali (questore, comandanti provinciali, autorità giudiziaria), mentre la polizia locale – che gestisce quotidianamente gran parte delle reti di videosorveglianza urbana comunali – non rientra nella nozione di Forze di polizia di cui all’art. 16 della legge 121/1981 e resterebbe quindi fuori dal nuovo assetto, senza poter attivare in proprio moduli di riconoscimento facciale. Una lettura coerente con la linea del Garante, che già in passato ha negato alle polizie locali usi biometrici privi di base normativa espressa.

Perché è rilevante: Per i Comuni l’implicazione pratica è immediata: gli impianti sono comunali, ma la loro valorizzazione con l’IA potrà avvenire solo a beneficio delle forze statali, attraverso patti e convenzioni. I capitolati di gara con moduli di analisi biometrica che la polizia locale non potrebbe attivare lecitamente vanno rivisti ora.

Azione pratica: Ripulire i capitolati di gara da funzioni di riconoscimento biometrico non attivabili, costruire i progetti sulle regole vigenti e presidiare l’iter del decreto per adeguare per tempo convenzioni, DPIA e regolamenti comunali.

Per leggere l’articolo completo: https://www.poliziamunicipale.it/documenti/93871/telecamere-e-ai

• • •

 

COSA FARE QUESTO MESE: INDICAZIONI PRATICHE

Una sintesi operativa, in linguaggio semplice, delle azioni concrete suggerite dai provvedimenti e dai segnali del mese.

• Sistemi di scoring e decisioni automatizzate (subito, imprese e PA che usano punteggi su clienti, utenti o fornitori): censisci i sistemi di scoring in uso, anche se forniti da terzi; verifica che le informative li dichiarino, che i riscontri alle richieste di accesso spieghino criteri e logica del punteggio senza rinviare l’interessato al fornitore dei dati e che le nomine ex art. 28 GDPR coprano le operazioni realmente svolte (lezione dai provvedimenti Hera Comm, EstEnergy, Cerved ed Experian).
• Posta elettronica dei dipendenti (datori di lavoro pubblici e privati): rivedi i tempi di conservazione di email e log, le procedure di accesso alle caselle e la gestione degli account dei cessati; la conservazione generalizzata per anni e l’accesso retrospettivo ai messaggi configurano un controllo a distanza vietato (lezione dal caso Piaggio).
• Armadietti, dispositivi e spazi assegnati (uffici HR): regolamenta con informativa preventiva l’uso degli spazi aziendali assegnati e le procedure di riconsegna alla cessazione del rapporto; l’apertura e lo svuotamento senza preavviso sono un trattamento illecito di dati personali.
• Registrazioni delle chiamate (call center, URP, utility, banche): predisponi una procedura per riscontrare le richieste di accesso all’audio delle telefonate, con trascrizione oppure oscuramento dei dati dell’operatore; il diniego generalizzato non regge (caso Enel Energia).
• Outsourcing e responsabili del trattamento (chi esternalizza recupero crediti, IT, servizi): affianca alla nomina ex art. 28 GDPR istruzioni precise, flussi informativi tracciati e controlli periodici documentati sull’operato del responsabile; conserva le evidenze (sanzioni gemelle sul recupero crediti).
• Liste marketing e double opt-in (chiunque gestisca form di iscrizione): verifica che gli invii promozionali partano solo a registrazione perfezionata, con prova del consenso e riscontri tempestivi alle istanze; un contatto acquisito a metà non è una base giuridica (caso Altroconsumo).
• Liste di contatti acquistate e servizi di arricchimento dati (marketing e vendite): prima di acquistare banche dati o servizi di lead enrichment, chiedi al fornitore evidenza della base giuridica e della liceità delle fonti; il caso Lusha dimostra che il Garante può vietare il trattamento e ordinare la cancellazione.
• Videosorveglianza comunale (Comuni e polizie locali): verifica cartellonistica distinta per finalità, informativa estesa facilmente raggiungibile, oscuramento automatico di targhe e terzi estranei e DPIA preventiva con parere del DPO; se partecipi al bando del Ministero dell’Interno (domande entro il 24 agosto), integra la conformità GDPR nel progetto fin dall’inizio.
• Protocollo informatico e abilitazioni (tutti gli enti): verifica che gli accessi ai documenti protocollati siano selettivi per ruolo, con procedure riservate per gli atti relativi al personale; presta particolare attenzione nelle migrazioni tra sistemi e nei subentri tra enti (caso Sassari).
• AI Act – obblighi di trasparenza dal 2 agosto (imprese e PA con chatbot o contenuti generati dall’IA): censisci i sistemi di IA rivolti al pubblico, informa gli utenti che interagiscono con una macchina, etichetta deepfake e contenuti sintetici; consulta le linee guida della Commissione del 20 luglio e valuta l’adesione al Codice di buone pratiche sulla trasparenza.
• Anonimizzazione e web scraping (sanità, ricerca, open data, sviluppo IA): verifica se i dataset trattati come anonimi superano il test dei tre criteri proposto dall’EDPB (no isolamento, no collegamenti, no inferenze) e documenta le valutazioni; se hai osservazioni, invia i contributi alle consultazioni entro il 30 ottobre 2026.
• Minori e verifica dell’età (piattaforme, scuole, servizi digitali): se il servizio è accessibile a minorenni verifica sistemi di age verification effettivamente funzionanti e impostazioni predefinite protettive; il caso Character.AI e la legge francese indicano che le dichiarazioni nelle condizioni d’uso non bastano più.
• Social engineering e credenziali (tutte le organizzazioni con sportelli o reti di vendita): nessun accesso ai sistemi va concesso sulla base di una telefonata; verifica le richieste di intervento tecnico su un canale indipendente, rafforza la gestione di credenziali e certificati e forma gli operatori (lezione Wind Tre, stesso schema segnalato ai Comuni per ANPR).
• NIS2 – piattaforma e patch management (soggetti nel perimetro): verifica lo stato della tua posizione sul Portale ACN dopo la chiusura della finestra di categorizzazione; integra i bollettini del CSIRT nel processo di gestione delle vulnerabilità, con priorità a quelle attivamente sfruttate (a luglio la CVE-2026-12569 su PTC Windchill e FlexPLM).

 

SCADENZE NORMATIVE IN ARRIVO

Il quadro delle principali scadenze normative che impattano su protezione dati, cybersecurity e intelligenza artificiale. Per ciascuna indichiamo CHI è effettivamente tenuto, così da evitare allarmi inutili a chi non rientra nel perimetro. In evidenza, in alto, i termini più vicini; a seguire l’orizzonte completo per pianificare per tempo gli adempimenti.

 In evidenza: scadenze imminenti (prossimi mesi)

▶ 02/08/2026  –  AI Act – applicazione generale

Chi è tenuto: Fornitori e utilizzatori (deployer) di sistemi di IA che operano nell’UE, enti pubblici e imprese: gli obblighi di trasparenza riguardano chiunque esponga chatbot, assistenti virtuali o contenuti generati dall’IA al pubblico.

Diventano applicabili gli obblighi di trasparenza dell’art. 50 (informare chi interagisce con un’IA, dichiarare deepfake e contenuti sintetici), la governance e il regime sanzionatorio, incluse le regole sui modelli di IA per finalità generali. Gli obblighi sui sistemi ad alto rischio sono invece rinviati dal Regolamento (UE) 2026/1744 (vedi 02/12/2027 e 02/08/2028).

▶ 05/08/2026  –  EDPB – modello notifica data breach

Chi è tenuto: Aperta a tutti gli interessati: titolari, DPO, associazioni e professionisti che vogliano inviare commenti. L’adozione riguarderà poi qualsiasi titolare tenuto alla notifica ex art. 33 GDPR.

Termine della consultazione pubblica sul modello europeo comune di notifica delle violazioni dei dati personali adottato dall’EDPB a giugno. Dopo la consultazione, le autorità decideranno tempi e modalità di adozione.

▶ 24/08/2026  –  Videosorveglianza urbana – finanziamenti

Chi è tenuto: Solo Comuni, unioni e forme associative che hanno sottoscritto un Patto per la sicurezza urbana con la Prefettura. Esclusi gli interventi di mera sostituzione o manutenzione e gli enti beneficiari delle tre precedenti procedure.

Termine per presentare alla Prefettura le domande di contributo (decreto Ministero dell’Interno 22 aprile 2026, GU n. 120 del 26/05/2026): 19 milioni di euro disponibili, massimo 250.000 euro a progetto. Il progetto deve integrare la conformità GDPR (DPIA preventiva, cartellonistica, tempi di conservazione).

▶ 01/09/2026  –  Francia – divieto social ai minori di 15 anni

Chi è tenuto: Gestori di piattaforme social operanti in Francia; segnale rilevante per chiunque offra servizi digitali accessibili a minori, anche in Italia, sul fronte della verifica dell’età.

Data prevista di entrata in vigore della legge francese che vieta l’accesso ai social network ai minori di 15 anni, prima nell’UE; gli account esistenti degli under 15 dovranno essere chiusi entro il 1° gennaio 2027. L’applicazione resta sospesa all’esito del giudizio costituzionale.

▶ 12/09/2026  –  Data Act – progettazione

Chi è tenuto: Fabbricanti di prodotti connessi (IoT, macchinari, veicoli, elettrodomestici smart) e fornitori di servizi correlati, in particolare MEDIE e GRANDI imprese. Le micro e piccole imprese godono di esenzioni. Gli enti pubblici sono toccati soprattutto come utenti/acquirenti.

Si applicano gli obblighi di progettazione (access-by-design) per prodotti connessi e servizi correlati: i dati generati devono essere accessibili a utenti e terzi autorizzati.

▶ 23/09/2026  –  Accessibilità – dichiarazione AgID

Chi è tenuto: Tutte le PA per ogni sito e app di cui sono titolari; i privati con fatturato medio superiore a 500 milioni di euro nell’ultimo triennio. Le altre imprese restano soggette agli obblighi dell’European Accessibility Act, ma non a questa dichiarazione.

Termine annuale per presentare o riesaminare la dichiarazione di accessibilità tramite il form AgID (form.agid.gov.it). La dichiarazione presuppone una verifica effettiva di conformità, da avviare con settimane di anticipo.

▶ 30/10/2026  –  EDPB – consultazioni anonimizzazione e web scraping

Chi è tenuto: Aperta a tutti: titolari, responsabili, DPO, sviluppatori e fornitori di sistemi di IA che vogliano inviare osservazioni sulle Linee guida 02/2026 (anonimizzazione) e 03/2026 (web scraping per l’IA generativa).

Termine delle consultazioni pubbliche sulle due linee guida adottate nella plenaria EDPB dell’8 luglio. Le versioni definitive fisseranno lo standard con cui le autorità valuteranno anonimizzazione e raccolta di dati dal web per l’addestramento dei modelli.

▶ 31/10/2026  –  NIS2 – misure di sicurezza

Chi è tenuto: Solo i soggetti ESSENZIALI e IMPORTANTI nel perimetro NIS2 (primo ciclo). Dopo questa data scatta la fase ispettiva dell’ACN. NON riguarda chi è fuori dal perimetro.

Termine operativo indicato dall’ACN per rendere pienamente operative le misure di sicurezza di base, con evidenze documentali (Determinazione ACN n. 379907 del 19 dicembre 2025: 18 mesi dalla ricezione della comunicazione di inserimento nell’elenco, inviata ad aprile 2025). Dopo questa data l’ACN passa dalla fase di supporto a quella ispettiva.

▶ 02/12/2026  –  AI Act – marcatura contenuti e divieto nudifier

Chi è tenuto: Fornitori e utilizzatori di sistemi di IA generativa già sul mercato prima del 2 agosto 2026 (marcatura); il divieto delle applicazioni che generano immagini intime non consensuali e materiale di abuso su minori riguarda chiunque le sviluppi o le distribuisca.

Con il Regolamento (UE) 2026/1744, ora pubblicato in Gazzetta, diventano operativi l’obbligo di marcatura leggibile dalle macchine dei contenuti generati dall’IA per i sistemi già sul mercato e il nuovo divieto dei sistemi destinati a generare contenuti intimi non consensuali o CSAM.

▶ 31/12/2026  –  NIS2 – nuovi soggetti 2026

Chi è tenuto: Solo i soggetti inseriti per la PRIMA VOLTA nell’elenco NIS nel 2026. Per loro il calendario prevede anche l’obbligo di notifica degli incidenti significativi dal 1° gennaio 2027 e le misure di sicurezza di base entro luglio 2027.

Termine per la designazione del referente verso il CSIRT Italia da parte dei soggetti censiti nel 2026, primo passo del calendario di adempimenti a date fisse stabilito dalle Determinazioni ACN n. 127434 e n. 127437 del 13 aprile 2026 (notifiche incidenti dal 1° gennaio 2027, misure di sicurezza di base entro il 31 luglio 2027).

 

Orizzonte successivo

10/07/2027  –  Regolamento antiriciclaggio – art. 75

Chi è tenuto: Soggetti obbligati antiriciclaggio (banche, intermediari, professionisti) che intendano partecipare a partnership per la condivisione di informazioni; i loro DPO.

Diventa applicabile il Regolamento AML, incluse le partnership per la condivisione di informazioni ex art. 75. EDPB e AMLA hanno annunciato a luglio linee guida congiunte, con consultazione prevista nel primo semestre 2027.

12/09/2027  –  Data Act – contratti

Chi è tenuto: Imprese che hanno in essere contratti di accesso/condivisione dati con clausole potenzialmente abusive; rilevante soprattutto per fornitori di servizi cloud e di prodotti connessi.

Le regole sulle clausole contrattuali abusive in materia di accesso e uso dei dati si estendono anche ai contratti già in essere alla data di applicazione.

02/12/2027  –  AI Act – alto rischio (Allegato III)

Chi è tenuto: Solo fornitori e utilizzatori di sistemi di IA classificati ad ALTO RISCHIO (biometria, infrastrutture critiche, istruzione, selezione del personale, servizi essenziali, giustizia, frontiere). Riguarda sia PA sia imprese che usano questi sistemi.

Termine, ora ufficiale con il Regolamento (UE) 2026/1744, per gli obblighi sui sistemi di IA ad alto rischio dell’Allegato III cosiddetti stand-alone.

02/08/2028  –  AI Act – prodotti regolamentati

Chi è tenuto: Fabbricanti di prodotti già soggetti a normativa settoriale di sicurezza (dispositivi medici, macchine, giocattoli, ecc.) che integrano sistemi di IA ad alto rischio.

Termine, ora ufficiale con il Regolamento (UE) 2026/1744, per gli obblighi sui sistemi di IA ad alto rischio integrati in prodotti già soggetti a normativa settoriale di sicurezza.

28/06/2030  –  European Accessibility Act

Chi è tenuto: Imprese che offrono al pubblico prodotti e servizi rientranti nell’EAA (e-commerce, banche, trasporti, e-book, comunicazioni elettroniche); microimprese che erogano servizi sono in larga parte esentate. La PA resta soggetta agli obblighi di accessibilità già vigenti.

Fine del periodo transitorio: i prodotti già immessi sul mercato prima del 28/06/2025 dovranno essere conformi. I nuovi prodotti e servizi sono soggetti agli obblighi già dal 28/06/2025 (servizi di emergenza dal 28/06/2027).

 

 

Nota di trasparenza sull’uso dell’intelligenza artificiale (art. 50 AI Act). Questa rassegna è redatta con il supporto di strumenti di IA generativa (ChatGPT, NotebookLM, Claude). Ogni contenuto è sottoposto a revisione umana sostanziale: le notizie sono selezionate dal Team, che verifica riferimenti, provvedimenti, importi, date e link sulle fonti ufficiali prima della pubblicazione. La responsabilità editoriale è di iSimply srl, nella persona del presidente Enrico Capirone. Ricorrendo revisione umana e responsabilità editoriale, il testo rientra nell’eccezione prevista dall’art. 50, par. 4, del Regolamento (UE) 2024/1689: rendiamo comunque nota questa informazione come scelta volontaria di trasparenza, in linea con l’invito della Commissione europea. La stessa chiarezza che, da oggi, l’AI Act chiede a chi usa l’intelligenza artificiale è quella che vogliamo offrire per primi ai nostri lettori.

Contatti: info@isimply.it