GDPR e protezione dei dati: rassegna stampa N° 6/2026

Rassegna stampa GDPR e protezione dei dati a cura di iSimply del mese di giugno 2026

 

EDITORIALE – GIUGNO 2026

 

il mese di giugno 2026 consegna un messaggio che a prima vista sembra contraddittorio ma che, guardato da vicino, è del tutto coerente: l’Europa semplifica le regole, ma le Autorità di controllo alzano l’asticella sulla sostanza. Da un lato il Consiglio dell’Unione europea ha dato il via libera definitivo al Digital Omnibus sull’intelligenza artificiale, rinviando gli obblighi più onerosi sui sistemi ad alto rischio e riscrivendo il calendario dell’AI Act; l’EDPB, dalla sua plenaria di Bruxelles, ha adottato un modello unico europeo per la notifica dei data breach, pensato per alleggerire e uniformare gli adempimenti. Dall’altro, il filo che lega quasi tutti i provvedimenti del mese è uno solo: la trasparenza, intesa non come adempimento formale ma come dovere concreto verso le persone.

Per gli enti pubblici e i Comuni, giugno parla chiaro. Il Garante ha sanzionato AgID per il riversamento delle PEC dei professionisti nell’INAD senza un’informativa adeguata e senza dare tempo di intervenire prima della pubblicazione: un richiamo alla privacy by design e agli obblighi informativi che vale per chiunque migri dati tra banche dati e registri. Ha ammonito un Comune che aveva riutilizzato le immagini della videosorveglianza urbana per accertare un’infrazione stradale, ricordando che le telecamere di sicurezza hanno un vincolo di finalità stringente. E il Consiglio di Stato, sull’accesso agli atti delle società in house, ha ridisegnato il confine tra trasparenza amministrativa e riservatezza. Sono decisioni che chiedono agli uffici di sapere sempre perché trattano un dato e fin dove possono spingersi.

Per le imprese, e per chi opera come Responsabile del trattamento, il messaggio è altrettanto netto. La sanzione a Emirates insegna che una finalità lecita, come l’assistenza ai passeggeri a mobilità ridotta, non esime da informativa chiara e tempi di conservazione proporzionati. Il nuovo decreto sulla trasparenza retributiva impone a datori pubblici e privati adempimenti che sono, a tutti gli effetti, trattamenti di dati da governare con DPIA e minimizzazione. E sul fronte dei trasferimenti verso gli Stati Uniti torna l’incertezza, dopo una pronuncia americana che indebolisce l’indipendenza della FTC e mette in dubbio la tenuta del Data Privacy Framework: un tema da presidiare per chiunque usi fornitori cloud d’oltreoceano.

C’è poi un secondo filo, che percorre l’intero mese: la tutela dei minori. Il Garante ha ribadito che pubblicare le foto dei figli sui social richiede il consenso di entrambi i genitori e ha chiesto conto agli istituti Salesiani della sperimentazione dell’intelligenza artificiale generativa in classe, che ha coinvolto migliaia di studenti. Sullo sfondo, il G7 delle Autorità privacy ha adottato principi comuni sulla verifica dell’età. È il segnale che la protezione dei più giovani sarà, nei prossimi mesi, un terreno di controlli crescenti per scuole, piattaforme e chiunque tratti dati di ragazzi.

Il filo conduttore, allora, è che semplificare le regole non significa semplificare le responsabilità. La semplificazione europea è un’opportunità da cogliere, ma la conformità resta un dovere sostanziale, fatto di informative comprensibili, tempi di conservazione difendibili, valutazioni documentate e attenzione ai soggetti più fragili. Per ogni voce troverete, come sempre, il perché è rilevante e l’azione pratica suggerita, perché il nostro compito non è solo raccontare cosa è successo, ma tradurlo in decisioni difendibili al vostro fianco.

Con stima e fiducia in un domani più sicuro,

Enrico Capirone

Presidente iSimply e Senior Advisor Gruppo 2G

 

 

NOTIZIE IN EVIDENZA

Una selezione ragionata per i Titolari del trattamento, distinta tra enti pubblici (Comuni e PA) e operatori privati, con il rimando alle voci di dettaglio nelle sezioni successive.

 In evidenza per gli enti pubblici (Comuni e PA)

• AgID sanzionata per l’INAD (55.000 euro). Le PEC dei professionisti riversate nell’INAD senza informativa adeguata e senza il tempo di modificare il domicilio prima della pubblicazione: violati trasparenza, limitazione della finalità e privacy by design.
• Videosorveglianza urbana. Il Garante ammonisce un Comune che ha usato un filmato di sicurezza urbana per accertare un’infrazione al Codice della strada: le telecamere hanno un vincolo di finalità e ogni uso ulteriore richiede una base giuridica espressa.
• Accesso agli atti e società in house. Il Consiglio di Stato (sent. n. 4800/2026) esclude dall’accesso gli atti di gestione ordinaria del rapporto di lavoro nelle in house: un confine netto tra trasparenza amministrativa e riservatezza.
• IA a scuola. Il Garante chiede informazioni agli istituti Salesiani sulla sperimentazione di IA generativa che ha coinvolto migliaia di studenti e docenti: la governance privacy va documentata prima di introdurre l’IA, non dopo.

 In evidenza per il settore privato (imprese e professionisti)

• Dati sanitari dei passeggeri: sanzione a Emirates (180.000 euro). Trattamento lecito, ma informativa carente e conservazione dei dati sanitari per sette anni, giudicata eccessiva: la liceità della finalità non basta senza trasparenza e retention proporzionata.
• Trasparenza retributiva. Il D.Lgs. 96/2026 recepisce la direttiva UE: reporting sul divario di genere per datori pubblici e privati. Ogni adempimento è un trattamento di dati da governare con DPIA, minimizzazione e limiti di conservazione.
• Data breach: modello unico europeo. L’EDPB adotta e mette in consultazione un modello armonizzato di notifica delle violazioni, da integrare con il Single Entry Point: procedure di incident response da allineare.
• Trasferimenti UE-USA di nuovo a rischio. Una pronuncia della Corte Suprema americana sull’indipendenza della FTC riapre i dubbi sulla tenuta del Data Privacy Framework: da presidiare i flussi verso i fornitori cloud statunitensi.

 

La rassegna in numeri

Periodo di riferimento: Giugno 2026 (mese solare).

Voci selezionate e verificate: 27

Sezioni tematiche: 7

Fonti consultate: Garante per la protezione dei dati personali, edpb.europa.eu, edps.europa.eu, consilium.europa.eu, europarl.europa.eu, curia.europa.eu, enisa.europa.eu, acn.gov.it, digital-strategy.ec.europa.eu, Federprivacy, Agenda Digitale, Cybersecurity360, Altalex, Lentepubblica, Iusgate, eius.it.

 

INDICE

Le sezioni della rassegna di questo mese, con una breve descrizione di cosa contiene ciascuna.

▪  Editoriale del mese — La lettura d’insieme del mese: il filo che lega i provvedimenti e cosa significano per i Titolari pubblici e privati.

▪  Notizie in evidenza — I fatti più importanti del mese, già distinti tra enti pubblici (Comuni e PA) e settore privato.

▪  1. Garante per la protezione dei dati personali – provvedimenti e sanzioni — I provvedimenti del mese: dati sanitari nei trasporti, videosorveglianza urbana, minori sui social, IA a scuola, INAD e accesso agli atti.

▪  2. Novità normative italiane ed europee — Le novità del mese tra Italia ed Europa: trasparenza retributiva, Data Union Strategy e il pacchetto di semplificazione digitale.

▪  3. EDPB e strumenti operativi per il DPO — Il modello europeo di notifica dei data breach, la vigilanza coordinata e le novità dal Comitato europeo.

▪  4. AI Act e uso conforme dell’AI — Il via libera definitivo al Digital Omnibus sull’IA e i rischi della cosiddetta Shadow AI.

▪  5. Giurisprudenza — Le pronunce del mese: prove e GDPR nel processo, diritto all’oblio, accesso agli atti e risarcimento del danno.

▪  6. Cybersecurity, tecnologie emergenti e segnali — Lo stato della sicurezza: esercitazione europea, ondata ransomware sulle PMI, grandi violazioni internazionali e bollettini CSIRT.

▪  7. Approfondimenti metodologici per il DPO — Lezioni operative del mese: trasparenza delle informative, minimizzazione e limiti del consenso, tutela dei minori.

▪  Cosa fare questo mese: indicazioni pratiche — L’elenco operativo delle azioni concrete da mettere in agenda, con scadenze e passi puntuali.

▪  Scadenze normative in arrivo — Il calendario delle principali scadenze (NIS2, AI Act, Data Act, accessibilità) con l’indicazione di chi è tenuto.

 

 

 

1 Garante per la protezione dei dati personali – provvedimenti e sanzioni

 

giugno 2026 (ord. n. 419 del 28/05/2026)  |  Fonte: garanteprivacy.it

INAD: il Garante sanziona AgID per il riversamento delle PEC dei professionisti (55.000 euro)

#INAD  #domiciliodigitale  #trasparenza  #privacybydesign  #PA

Con l’ordinanza-ingiunzione n. 419 del 28 maggio 2026 (doc-web 10259701), ripresa ampiamente dalla stampa nella seconda metà di giugno, il Garante ha sanzionato AgID per 55.000 euro per la gestione dell’INAD, l’Indice nazionale dei domicili digitali. I professionisti già iscritti a INI-PEC, al momento del riversamento automatico del proprio domicilio digitale nell’INAD, non erano stati adeguatamente informati di questo ulteriore trattamento né era stato loro concesso il tempo di modificare il domicilio prima della pubblicazione, in difformità dalle stesse Linee guida INAD. Il Garante ha riscontrato la violazione dei principi di liceità, trasparenza e limitazione della finalità e degli obblighi informativi (artt. 5, 12, 14 e 25 GDPR).

Perché è rilevante: Il provvedimento ricorda che anche le pubbliche amministrazioni e i gestori di registri pubblici rispondono per un’informativa carente e per impostazioni predefinite non conformi: un monito per chiunque riversi o riutilizzi dati tra banche dati e sistemi, dove la privacy by design e by default non è un’opzione.

Azione pratica: In caso di migrazione o riuso di dati tra sistemi o registri, informare preventivamente gli interessati e prevedere una finestra per l’esercizio dei diritti prima della pubblicazione, documentando le scelte di configurazione predefinita.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10259701

• • •

03/06/2026  |  Fonte: garanteprivacy.it

IA a scuola: il Garante chiede informazioni agli istituti Salesiani

#intelligenzaartificiale  #scuola  #minori  #DPIA  #sperimentazione

Con un comunicato del 3 giugno 2026 (doc-web 10257612) il Garante ha reso noto di aver inviato una richiesta di informazioni al Centro Nazionale Opere Salesiane – Scuola in merito all’impiego dell’intelligenza artificiale generativa a fini didattici. Secondo notizie di stampa, alcuni istituti salesiani avrebbero avviato una sperimentazione strutturata di IA che ha coinvolto oltre 1.600 docenti e quasi 29.000 studenti, con la partecipazione di un grande fornitore tecnologico. Il Garante ricorda che la normativa sulla protezione dei dati si applica allo stesso modo ai soggetti pubblici e privati che erogano servizi educativi e che, in presenza di rischi elevati come le decisioni automatizzate, sono richiesti adempimenti specifici. Il Centro dovrà rispondere entro venti giorni indicando valutazioni preliminari, modalità di trattamento dei dati, istituti coinvolti, fornitori ed eventuale DPIA svolta.

Perché è rilevante: È un segnale forte per scuole pubbliche e paritarie, enti di formazione e imprese edtech: l’adozione dell’IA generativa in ambito educativo richiede una governance privacy documentata prima dell’avvio, non a posteriori, tanto più quando riguarda minori e trattamenti potenzialmente ad alto rischio.

Azione pratica: Prima di introdurre strumenti di IA generativa in classe, svolgere e documentare una DPIA, verificare la base giuridica, la trasparenza verso studenti e genitori, i ruoli con i fornitori e l’eventuale presenza di decisioni automatizzate.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10257612

• • •

05/06/2026  |  Fonte: garanteprivacy.it

Accesso civico e spese del Collegio: il TAR Lazio accoglie il ricorso di Report

#accessocivico  #trasparenza  #PA  #TARLazio  #risorsepubbliche

Il 5 giugno 2026 il TAR Lazio ha riconosciuto a una redazione giornalistica il diritto di accedere ai documenti di spesa del Collegio del Garante relativi al 2024. La testata aveva presentato due istanze di accesso civico generalizzato, riscontrate dal Garante solo con dati aggregati, ritenuti dal giudice generici e parziali. Il TAR ha valorizzato l’accesso civico generalizzato come strumento di controllo diffuso sull’uso delle risorse pubbliche, affermando che le spese del Presidente, dei componenti del Collegio e del Segretario generale sono soggette a tracciabilità e rendicontazione in quanto gravanti su risorse pubbliche. Il Garante ha diffuso un proprio comunicato in pari data.

Perché è rilevante: Al di là della vicenda specifica, la pronuncia interessa tutte le PA sul terreno dell’accesso civico generalizzato: un diniego fondato sulla sola aggregazione dei dati può non reggere quando si tratta di spesa di risorse pubbliche, salvo eccezioni puntuali da motivare caso per caso.

Azione pratica: Riesaminare le procedure di gestione delle istanze di accesso civico generalizzato, evitando dinieghi basati sulla mera aggregazione dei dati e motivando in modo puntuale eventuali limitazioni a tutela della riservatezza.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10258316

• • •

17/06/2026 (provv. n. 347 del 14/05/2026)  |  Fonte: garanteprivacy.it

Dati sanitari dei passeggeri a mobilità ridotta: sanzione di 180.000 euro a Emirates

#datisanitari  #trasparenza  #conservazione  #trasporti  #informativa

Con il provvedimento n. 347 del 14 maggio 2026 (doc-web 10259296), reso noto con la newsletter del 17 giugno, il Garante ha sanzionato la compagnia aerea Emirates per 180.000 euro. La società poteva legittimamente trattare, anche senza consenso, i dati sanitari dei passeggeri con disabilità o mobilità ridotta per garantire sicurezza e assistenza al viaggio, ma ha violato gli obblighi di trasparenza e il principio di limitazione della conservazione: non forniva un’informativa chiara né sul sito né tramite il personale, subordinava l’assistenza alla compilazione del modulo Medif anche a chi non era tenuto e conservava i dati sanitari per sette anni, periodo giudicato eccessivo. Il Garante ha ordinato di aggiornare l’informativa, ridefinire i tempi di conservazione e cancellare i dati oltre il periodo congruo.

Perché è rilevante: È un precedente utile per l’intero settore dei trasporti e del turismo, ma anche per chiunque tratti dati di salute su una base normativa: la liceità della finalità non esime mai dagli obblighi di trasparenza e da una conservazione proporzionata, e la responsabilità del Titolare permane anche quando l’assistenza è materialmente gestita da personale o partner terzi.

Azione pratica: Rivedere informative e tempi di conservazione dei dati sanitari, non richiedere moduli o dati a categorie di persone non tenute e configurare la cancellazione automatica dei dati alla scadenza del periodo di conservazione definito e documentato.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10259296

• • •

17/06/2026 (provv. n. 341 del 14/05/2026)  |  Fonte: garanteprivacy.it

Videosorveglianza urbana: ammonito un Comune per l’uso ulteriore delle immagini

#videosorveglianza  #PA  #finalità  #Comuni  #Codicedellastrada

Con il provvedimento n. 341 del 14 maggio 2026 (doc-web 10259305), reso noto a giugno, il Garante ha ammonito un il Comune di Reggio Calabria che aveva utilizzato il filmato di una telecamera di sicurezza urbana per ricostruire un incidente stradale, accertare le responsabilità e contestare una violazione del Codice della strada, inviando poi le immagini alla Motorizzazione civile ai fini della revisione della patente. L’Autorità ricorda che le telecamere che riprendono in modo continuativo la pubblica via hanno una finalità vincolata – la prevenzione e il contrasto della criminalità – e che ogni uso ulteriore, anche amministrativo, richiede un’idonea base giuridica espressa, qui mancante. Restano invece utilizzabili le immagini in caso di condotte penalmente rilevanti. Vista la collaborazione dell’ente, il Garante ha ritenuto sufficiente l’ammonimento, qualificando la violazione come minore.

Perché è rilevante: È un provvedimento cruciale per i Comuni e le PA dotati di impianti di videosorveglianza urbana: le immagini raccolte per la sicurezza non possono essere riutilizzate per accertare infrazioni amministrative o essere trasmesse ad altri enti senza una base normativa dedicata, con il rischio di atti invalidi e contenzioso.

Azione pratica: Mappare le finalità dichiarate per ciascun impianto, non riutilizzare i filmati di sicurezza urbana per sanzioni amministrative senza base giuridica specifica e disciplinare per iscritto ogni comunicazione delle immagini a soggetti terzi.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10259305

• • •

17/06/2026 (provv. n. 314 del 29/04/2026)  |  Fonte: garanteprivacy.it

Foto dei minori sui social: serve il consenso di entrambi i genitori (sharenting)

#minori  #sharenting  #consenso  #social  #responsabilitàgenitoriale

Con il provvedimento n. 314 del 29 aprile 2026 (doc-web 10251841), divulgato con la newsletter di giugno, il Garante ha dichiarato illecita la pubblicazione, sui profili social di una madre, di fotografie dei figli minori di quattordici anni senza il consenso dell’altro genitore, intervenendo su reclamo del padre. Per pubblicare immagini di minori infraquattordicenni serve il consenso preventivo di entrambi i genitori; dai quattordici anni è il minore a decidere autonomamente. Il Garante ha precisato che non rilevano la finalità affettiva, il numero limitato di foto o l’impostazione privata del profilo, poiché i contenuti restano potenzialmente diffondibili. Ha quindi imposto il divieto di ulteriore pubblicazione senza il consenso di entrambi i genitori e ammonito la madre.

Perché è rilevante: Il provvedimento rafforza il principio della tutela dei minori nel cosiddetto sharenting e offre un riferimento diretto a scuole, associazioni sportive, oratori e a chiunque pubblichi immagini di bambini: la finalità affettiva o la ristretta cerchia di destinatari non rendono lecita la pubblicazione.

Azione pratica: Per enti, scuole e associazioni, raccogliere sempre il consenso di entrambi i genitori prima di pubblicare foto di minori under 14, predisponendo moduli e procedure documentate di verifica del consenso.

Per leggere l’articolo completo: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10251841

 

 

2. Novità normative italiane ed europee

 

11/06/2026  |  Fonte: digital-strategy.ec.europa.eu

La Commissione UE aggiorna la Data Union Strategy

#DataUnionStrategy  #dati  #IA  #sovranitàdigitale  #DataAct

L’11 giugno 2026 la Commissione europea ha aggiornato la pagina dedicata alla Data Union Strategy, riorganizzando la propria politica sui dati attorno a tre priorità: ampliare l’accesso ai dati per alimentare l’intelligenza artificiale, semplificare le regole europee sui dati e salvaguardare la sovranità sui dati. La strategia si collega agli obiettivi del pacchetto Digital Omnibus e prevede laboratori di dati, l’espansione degli spazi comuni europei di dati e un nuovo spazio dati dedicato alla difesa. È un documento di indirizzo che segnala la direzione politica dell’Unione su dati e IA nei prossimi anni.

Perché è rilevante: Orienta il quadro futuro su Data Act, spazi europei di dati e riuso dei dati: utile per le imprese e gli enti che pianificano progetti data-driven o che partecipano agli spazi comuni europei, in un contesto che unisce semplificazione e maggiore accesso ai dati.

Azione pratica: Monitorare l’evoluzione della strategia e i bandi collegati agli spazi europei di dati, valutando in anticipo l’impatto della direzione semplificazione più accesso ai dati sui propri progetti.

Per leggere l’articolo completo: https://digital-strategy.ec.europa.eu/en/policies/data-union

• • •

26/06/2026  |  Fonte: consilium.europa.eu

Digital Omnibus: il Consiglio adotta il mandato negoziale sulla semplificazione delle regole digitali

#DigitalOmnibus  #ePrivacy  #cookie  #semplificazione  #GDPR

Nell’ambito del più ampio pacchetto Digital Omnibus di semplificazione delle regole digitali, nel mese di giugno è proseguito l’iter sul versante che tocca protezione dei dati ed ePrivacy. Secondo le informazioni diffuse, il Consiglio ha adottato un mandato negoziale e sono circolate ipotesi di compromesso volte a semplificare gli adempimenti, tra cui la gestione del consenso ai cookie e la riduzione di alcuni oneri per le organizzazioni di minori dimensioni. Il negoziato tra Consiglio e Parlamento entrerà nel vivo nei mesi successivi. Restano al centro del dibattito i confini della definizione di dato personale, sui quali l’EDPB ha espresso forti cautele.

Perché è rilevante: Per imprese, PA e gestori di siti web la semplificazione della gestione dei cookie e di alcuni adempimenti formali può ridurre gli oneri, ma la direzione definitiva dipenderà dal negoziato: conviene seguirne l’evoluzione senza dare per acquisita alcuna modifica.

Azione pratica: Monitorare l’iter del Digital Omnibus su cookie ed ePrivacy senza modificare anticipatamente le proprie prassi, e pianificare per tempo l’eventuale revisione dei banner e delle informative una volta approvato il testo.

Per leggere l’articolo completo: https://www.consilium.europa.eu/en/press/press-releases/2026/06/09/simplification-council-and-parliament-strike-deal-to-help-growing-businesses-thrive-and-accelerate-digitalisation/

• • •

29/06/2026  |  Fonte: agendadigitale.eu

Trasparenza retributiva: il D.Lgs. 96/2026 e gli obblighi privacy per datori pubblici e privati

#trasparenzaretributiva  #divariogenere  #DPIA  #reidentificazione  #HR

Il D.Lgs. 7 maggio 2026, n. 96 (pubblicato in Gazzetta Ufficiale n. 125 del 1 giugno 2026 ed entrato in vigore il 7 giugno) recepisce la direttiva UE 2023/970 sulla trasparenza retributiva, introducendo per i datori pubblici e privati nuovi obblighi di reporting sul divario retributivo di genere. Come evidenzia l’approfondimento, ogni adempimento – dai livelli retributivi medi agli indicatori di divario, fino alla valutazione congiunta – è un trattamento di dati personali soggetto al GDPR. Nel parere del 26 marzo 2026 (reg. provv. n. 195, doc-web 10242702) il Garante aveva chiesto correttivi segnalando l’indeterminatezza della disciplina attuativa, il rischio di re-identificazione nei gruppi di confronto ristretti, l’esposizione indiretta di categorie particolari e l’assenza di limiti di conservazione e di DPIA. Il testo finale recepisce solo in parte tali indicazioni.

Perché è rilevante: L’impatto è diretto per le funzioni HR e per i DPO di imprese ed enti: i dati retributivi vanno trattati minimizzando il rischio di re-identificazione, specie nei gruppi ristretti dove il confronto può rivelare situazioni individuali o categorie particolari come i congedi.

Azione pratica: Predisporre una DPIA sui trattamenti di trasparenza retributiva, definire soglie di aggregazione adeguate, fissare tempi di conservazione e aggiornare informative e basi giuridiche del reporting.

Per leggere l’articolo completo: https://www.agendadigitale.eu/smart-city/trasparenza-retributiva-gli-obblighi-privacy-che-le-imprese-non-possono-rinviare/

• • •

3. EDPB e strumenti operativi per il DPO

10/06/2026  |  Fonte: edpb.europa.eu

Data breach: l’EDPB adotta un modello comune di notifica (in consultazione fino al 5 agosto)

#databreach  #art33  #modelloarmonizzato  #SingleEntryPoint  #consultazione

Nella 121a riunione plenaria dell’8-9 giugno a Bruxelles, comunicata il 10 giugno, l’EDPB ha adottato e messo in consultazione pubblica un modello europeo comune per la notifica delle violazioni dei dati personali alle autorità di controllo ai sensi dell’art. 33 GDPR. Si tratta di un formulario standard, con opzioni predefinite e istruzioni di compilazione, pensato per uniformare le procedure nei ventisette Paesi e per aiutare soprattutto le organizzazioni prive di DPO a inviare notifiche complete e tempestive; è previsto un futuro coordinamento con il Single Entry Point. La consultazione pubblica resta aperta fino al 5 agosto 2026, dopodiché le autorità decideranno tempi e modalità di adozione. Nell’incontro con il Commissario UE McGrath, l’EDPB ha sostenuto la semplificazione ma ha avvertito che indebolire la definizione di dato personale comprometterebbe i diritti fondamentali.

Perché è rilevante: Il modello unico cambierà lo strumento operativo che ogni organizzazione utilizza in caso di data breach: allinearsi in anticipo semplifica la gestione degli incidenti e riduce il rischio di notifiche incomplete o tardive, mentre l’integrazione con il Single Entry Point ridisegnerà i flussi di notifica a livello europeo.

Azione pratica: Seguire la consultazione EDPB e valutare l’invio di commenti entro il 5 agosto 2026, adeguando in anticipo le procedure interne di gestione del data breach al nuovo schema a campi predefiniti.

Per leggere l’articolo completo: https://www.edpb.europa.eu/news/edpb-meets-with-eu-commissioner-mcgrath-and-adopts-common-data-breach-notification-template_en

• • •

12/06/2026  |  Fonte: edpb.europa.eu

Vigilanza coordinata: il CSC estende il proprio ambito al sistema Eurodac

#CSC  #Eurodac  #vigilanzacoordinata  #EDPS  #migrazione

Il Comitato di supervisione coordinata (CSC), che riunisce le autorità nazionali di protezione dei dati e il Garante europeo (EDPS), ha esteso la propria vigilanza al sistema Eurodac, la grande banca dati europea per la gestione dell’asilo e della migrazione. Nel modello di supervisione coordinata le autorità nazionali controllano i trattamenti a livello locale, l’EDPS quelli dell’unità centrale, e il CSC assicura ora una vigilanza d’insieme sull’intero sistema. È un rafforzamento della tutela dei dati delle persone – richiedenti asilo e migranti – trattati in un contesto ad alto impatto sui diritti fondamentali, in linea con l’ampliamento della supervisione europea sui grandi sistemi informativi.

Perché è rilevante: Segnala l’espansione della vigilanza europea coordinata sui grandi sistemi IT: rilevante soprattutto per gli enti pubblici e gli operatori che interagiscono con i sistemi europei di asilo e migrazione, che devono attendersi controlli più stringenti sui propri flussi.

Azione pratica: Gli enti che trattano dati tramite sistemi europei come Eurodac dovrebbero verificare la conformità dei propri flussi e prepararsi a una supervisione coordinata più strutturata.

Per leggere l’articolo completo: https://www.edpb.europa.eu/news/coordinated-supervision-committee-extends-scope-to-include-eurodac_en

• • •

22/06/2026  |  Fonte: edpb.europa.eu

L’EDPB rinnova sito web e identità visiva

#EDPB  #sitoweb  #documentazione  #link  #organizzazione

Il 22 giugno 2026 l’EDPB ha annunciato il rinnovo del proprio sito istituzionale e della propria identità grafica. Oltre all’aspetto comunicativo, il restyling ha una ricaduta pratica per chi consulta abitualmente il portale: cambiano la struttura di navigazione e, in diversi casi, gli indirizzi delle pagine di linee guida, opinioni, documenti e consultazioni. Chi cita link dell’EDPB all’interno di policy, DPIA, registri dei trattamenti o procedure interne dovrebbe verificarne la validità dopo l’aggiornamento, per evitare rimandi non più funzionanti.

Perché è rilevante: È una nota operativa utile per il lavoro quotidiano del DPO: molti documenti aziendali richiamano link dell’EDPB, e il rifacimento del sito può renderli obsoleti, con il rischio di riferimenti non più raggiungibili nelle procedure e nella documentazione di accountability.

Azione pratica: Controllare e aggiornare i collegamenti all’EDPB utilizzati nella documentazione interna (policy, DPIA, registri, informative), verificando che rimandino alle nuove pagine del portale.

Per leggere l’articolo completo: https://www.edpb.europa.eu/news/edpb-gets-a-new-look-discover-the-new-website-and-brand-identity_en

 

 

4. AI Act e uso conforme dell’AI

 

15/06/2026  |  Fonte: edps.europa.eu

Shadow AI: il Garante europeo avverte sui rischi nascosti di data breach

#ShadowAI  #databreach  #governanceIA  #policy  #formazione

Il 15 giugno 2026 il Garante europeo della protezione dei dati (EDPS) ha pubblicato un contributo sul fenomeno della Shadow AI, ossia l’uso da parte del personale di strumenti di intelligenza artificiale non autorizzati dall’organizzazione. Il post evidenzia come questi strumenti possano esporre dati personali, creare punti ciechi dal punto di vista normativo e aprire vulnerabilità di sicurezza, aumentando il rischio di violazioni dei dati. È un richiamo alle organizzazioni, a partire dalle stesse istituzioni europee, a governare l’adozione dell’IA con policy chiare, formazione e controlli, per evitare che l’uso sommerso di chatbot e servizi esterni diventi una fonte di data breach.

Perché è rilevante: Il tema è quotidiano per qualunque Titolare: dipendenti che caricano dati aziendali o personali su strumenti di IA esterni, senza autorizzazione né verifica, generano un rischio concreto di violazione e di trasferimenti non controllati, difficile da rilevare senza una governance dedicata.

Azione pratica: Adottare o aggiornare una policy sull’uso dell’IA, formare il personale, tenere un inventario degli strumenti autorizzati e controllare i flussi di dati verso i servizi esterni.

Per leggere l’articolo completo: https://www.edps.europa.eu/press-publications/press-news/blog/managing-shadow-ais-hidden-data-breach-risk_en

• • •

29/06/2026  |  Fonte: consilium.europa.eu

AI Act: via libera definitivo del Consiglio al Digital Omnibus che semplifica e rinvia le regole

#AIAct  #DigitalOmnibus  #altorischio  #watermarking  #scadenze

Dopo il voto favorevole del Parlamento europeo del 16 giugno 2026 (423 voti a favore, 57 contrari, 174 astenuti), il 29 giugno il Consiglio dell’Unione europea ha dato il via libera definitivo al pacchetto che semplifica e riscrive il calendario dell’AI Act. Le scadenze per i sistemi ad alto rischio slittano – in particolare al 2 dicembre 2027 per i sistemi cosiddetti stand-alone e al 2 agosto 2028 per quelli integrati in prodotti già regolamentati – mentre restano più vicine altre due misure: l’obbligo di marcatura (watermarking) dei contenuti generati dall’intelligenza artificiale e il nuovo divieto delle applicazioni che creano immagini intime false, i cosiddetti nudifier, e materiale pedopornografico, entrambi previsti dal 2 dicembre 2026. Il testo sarà pubblicato in Gazzetta Ufficiale dell’Unione ed entrerà in vigore dopo tre giorni.

Perché è rilevante: Il provvedimento ridisegna il calendario di conformità all’AI Act, con impatti diretti su chi sviluppa o utilizza sistemi di IA. Attenzione però: fino alla pubblicazione in Gazzetta Ufficiale restano valide le scadenze originarie, quindi non è il momento di allentare i preparativi, soprattutto su trasparenza dei contenuti sintetici e alfabetizzazione del personale.

Azione pratica: Aggiornare la roadmap di conformità con le nuove date, pianificando per il 2 dicembre 2026 gli obblighi di watermarking e il divieto delle app nudifier e CSAM, e mappare i sistemi ad alto rischio in uso con i termini rivisti.

Per leggere l’articolo completo: https://www.consilium.europa.eu/en/press/press-releases/2026/06/29/artificial-intelligence-council-gives-final-green-light-to-simplify-and-streamline-rules/

 

 

5. Giurisprudenza

 

15/06/2026  |  Fonte: iusgate.com

Risarcimento del danno da privacy: nessun automatismo con la sanzione (Tribunale di Cagliari n. 970/2026)

#risarcimento  #dannononpatrimoniale  #art82  #databreach  #giurisprudenza

Un approfondimento di settore dà conto della sentenza n. 970/2026 del Tribunale di Cagliari, che nega ogni automatismo tra la sanzione irrogata dal Garante e il risarcimento del danno in sede civile: si tratta di piani distinti, e il danno non patrimoniale va allegato e provato, superando una soglia minima di gravità e serietà, senza riconoscere danni bagatellari o in re ipsa. Il caso riguardava dati sanitari consegnati alla paziente sbagliata, con una sanzione del Garante all’azienda sanitaria. L’articolo evidenzia però il possibile contrasto con la giurisprudenza della Corte di giustizia UE (causa C-655/23), secondo cui l’art. 82 GDPR non richiede una soglia di gravità del danno, generando incertezza interpretativa per le vittime delle violazioni.

Perché è rilevante: Per i Titolari e i DPO è un riferimento pratico: un data breach non conduce automaticamente a un risarcimento, ma il quadro resta incerto per il contrasto con l’orientamento europeo, e va monitorato nella gestione del contenzioso.

Azione pratica: Documentare con cura le misure adottate e la gestione degli incidenti e, nel contenzioso, contestare l’automatismo tra danno e sanzione, monitorando però l’evoluzione della giurisprudenza della Corte di giustizia UE.

Per leggere l’articolo completo: https://www.iusgate.com/privacy-strada-in-salita-per-il-risarcimento-del-danno/

• • •

16/06/2026  |  Fonte: eius.it

Consiglio di Stato (sent. n. 4800/2026): accesso agli atti e società in house

#accessoagliatti  #inhouse  #trasparenza  #PA  #rapportodilavoro

Con la sentenza n. 4800 del 16 giugno 2026 la Quinta Sezione del Consiglio di Stato ha stabilito che gli atti relativi alla gestione ordinaria del rapporto di lavoro presso una società in house – nel caso, i cedolini richiesti da ex dipendenti per agire in giudizio – sono di natura privatistica e restano sottratti sia all’accesso documentale (art. 22 della legge 241/1990) sia all’accesso civico generalizzato (art. 5 del d.lgs. 33/2013). La società in house, pur controllata dall’ente pubblico, conserva un’autonoma soggettività privata ed è equiparata a un ente pubblico solo dove una norma espressa lo preveda. L’accesso resta ammesso soltanto per gli atti a rilevanza pubblicistica, come selezioni, progressioni e scelte di auto-organizzazione.

Perché è rilevante: La pronuncia chiarisce il confine tra trasparenza amministrativa e riservatezza per le società partecipate e in house, tema ricorrente per i DPO e gli uffici accesso della PA, che devono distinguere con precisione gli atti ostensibili da quelli sottratti.

Azione pratica: Aggiornare i regolamenti e i riscontri sulle istanze di accesso relative alle società in house, distinguendo gli atti a rilevanza pubblicistica (ostensibili) dalla gestione ordinaria del contratto di lavoro (non ostensibile).

Per leggere l’articolo completo: https://www.eius.it/giurisprudenza/2026/3614926

• • •

18/06/2026  |  Fonte: federprivacy.org

CGUE (causa C-484/24): quando il giudice può usare prove raccolte in violazione del GDPR

#CGUE  #prove  #processo  #minimizzazione  #lavoro

Con la sentenza del 18 giugno 2026 nella causa C-484/24 la Corte di giustizia dell’Unione europea ha stabilito che il GDPR non impone di per sé l’inutilizzabilità automatica delle prove acquisite in violazione della normativa sulla protezione dei dati: l’ammissibilità resta rimessa al giudice nazionale. Tuttavia, utilizzando documenti che contengono dati personali il giudice compie un nuovo trattamento e deve rispettare i principi di necessità, proporzionalità e minimizzazione, oscurando i dati eccedenti o riferiti a terzi estranei alla lite, anche in fase di pubblicazione della sentenza. Il caso di origine riguardava l’accesso, da parte di un datore di lavoro, all’account privato di una dipendente per dimostrarne condotte scorrette. Come rilevato dalla stampa di settore, la pronuncia richiama nell’ordinamento italiano l’art. 160-bis del Codice privacy e l’art. 4 dello Statuto dei lavoratori.

Perché è rilevante: La decisione interessa direttamente DPO, legali e uffici HR perché incide sui controlli difensivi, sulla produzione documentale in giudizio e sul trattamento dei dati nel contenzioso: la prova illecita non è automaticamente esclusa, ma il suo uso resta vincolato alla proporzionalità.

Azione pratica: Prima di produrre in giudizio documenti contenenti dati personali, valutare la minimizzazione e l’oscuramento dei dati non necessari o riferiti a terzi, formalizzando la base giuridica del trattamento probatorio.

Per leggere l’articolo completo: https://www.federprivacy.org/informazione/flash-news/processo-civile-e-gdpr-la-corte-di-giustizia-ue-chiarisce-quando-il-giudice-puo-utilizzare-prove-raccolte-in-violazione-della-privacy

• • •

30/06/2026  |  Fonte: curia.europa.eu

CGUE (causa C-12/25): diritto all’oblio e cancellazione dal registro dei battesimi (udienza)

#dirittoalloblio  #art17  #cancellazione  #registri  #Carta

Il 30 giugno 2026 la Corte di giustizia dell’Unione europea ha tenuto l’udienza nella causa C-12/25, originata da un rinvio pregiudiziale belga. La questione riguarda chi, battezzato da minore, chiede da adulto la cancellazione dei propri dati dal registro dei battesimi della Chiesa cattolica: la Corte dovrà stabilire se l’art. 17 GDPR sul diritto alla cancellazione, letto insieme ai diritti della Carta, imponga la rimozione dei dati o se sia sufficiente, come sostiene la Diocesi, annotare l’uscita dalla Chiesa. L’autorità di controllo belga aveva ordinato la cancellazione. Si tratta, allo stato, di una udienza: la sentenza arriverà nei mesi successivi.

Perché è rilevante: È un caso simbolico sul bilanciamento tra diritto alla cancellazione e conservazione documentale nei registri storici: la futura pronuncia avrà un impatto potenziale su enti religiosi e, più in generale, su tutti i titolari che gestiscono archivi storici e registri di lunga durata.

Azione pratica: Monitorare l’esito della causa; gli enti che gestiscono registri e archivi storici possono nel frattempo rivedere le proprie policy sul diritto all’oblio in attesa della decisione.

Per leggere l’articolo completo: https://infocuria.curia.europa.eu/tabs/affair?sort=AFF_NUM-DESC&searchTerm=%22C-12%2F25%22&publishedId=C-12%2F25

 

 

6. Cybersecurity, tecnologie emergenti e segnali

 

giugno 2026  |  Fonte: cpomagazine.com

Madison Square Garden: 45 GB di dati pubblicati dopo un attacco partito da una telefonata

#vishing  #socialengineering  #riconoscimentofacciale  #databreach  #accounttakeover

Il gruppo criminale ShinyHunters ha pubblicato circa 45 GB di dati sottratti a Madison Square Garden dopo il mancato pagamento del riscatto. La rivendicazione parla di milioni di record tra clienti e dati aziendali, inclusi archivi di sorveglianza con riconoscimento facciale, valutazioni interne di sicurezza e dati personali come email, date di nascita, indirizzi e recapiti. L’accesso iniziale sarebbe avvenuto tramite vishing, cioè una telefonata ingannevole a un dipendente, che ha consentito di entrare nel sistema di gestione delle identità aziendale. Il caso è emblematico di come una singola azione di social engineering possa aggirare le difese tecniche, e solleva anche il tema dell’uso del riconoscimento facciale sui clienti.

Perché è rilevante: Mostra due rischi cruciali: la vulnerabilità umana al social engineering telefonico, spesso sottovalutata rispetto alle minacce puramente informatiche, e l’esposizione di dati biometrici raccolti tramite sistemi di riconoscimento facciale.

Azione pratica: Formare il personale contro vishing e social engineering, adottare procedure rigide di verifica per le richieste di accesso e attivare un’autenticazione a più fattori resistente al phishing sugli account amministrativi.

Per leggere l’articolo completo: https://www.cpomagazine.com/cyber-security/data-breach-impacts-madison-square-garden-sports-and-the-new-york-knicks/

• • •

11/06/2026  |  Fonte: enisa.europa.eu

Cyber Europe 2026: la grande esercitazione UE su ferrovie e porti

#ENISA  #CyberEurope  #trasporti  #resilienza  #NIS2

L’11 giugno 2026 ENISA ha concluso l’ottava edizione di Cyber Europe, l’esercitazione biennale di cyber-crisi dell’Unione, dedicata quest’anno ai settori ferroviario e portuale. Oltre 5.000 partecipanti e più di cento esperti hanno simulato un attacco coordinato capace di bloccare i sistemi di navigazione portuale e i treni transfrontalieri, con un ransomware sui servizi di biglietteria e la diffusione di dati dei passeggeri. Per la prima volta sono stati testati il rinnovato EU Cyber Blueprint per la gestione delle crisi e la EU Cybersecurity Reserve prevista dal Cyber Solidarity Act. Le lezioni apprese confluiranno in un report post-esercitazione.

Perché è rilevante: I trasporti sono da tempo tra i settori più colpiti in Europa e rientrano nel perimetro NIS2: l’esercitazione mette alla prova i meccanismi europei di risposta coordinata su cui poggiano anche gli obblighi di sicurezza e di notifica degli incidenti.

Azione pratica: Le aziende di trasporto e logistica e i loro fornitori dovrebbero verificare i piani di continuità operativa e la separazione tra le tecnologie operative legacy e i sistemi informatici moderni.

Per leggere l’articolo completo: https://www.enisa.europa.eu/news/cyber-europe-2026-all-eyes-on-the-eus-collective-response-and-resilience

• • •

21/06/2026  |  Fonte: acn.gov.it

CSIRT Italia: sfruttamento attivo di vulnerabilità LiteSpeed e aggiornamenti critici Atlassian

#CSIRT  #vulnerabilità  #patchmanagement  #Atlassian  #NIS2

Il riepilogo settimanale del CSIRT Italia del 21 giugno 2026 segnala lo sfruttamento attivo di una vulnerabilità in LiteSpeed Web Server che consente a un utente con accesso limitato di elevare i propri privilegi sui sistemi colpiti. Il bollettino segnala inoltre il rilascio di aggiornamenti di sicurezza per numerose vulnerabilità critiche e alte nei prodotti Atlassian (Bamboo, Jira, Bitbucket, Confluence, Crowd) e l’aumento della probabilità di sfruttamento per vulnerabilità relative a prodotti molto diffusi. È l’aggiornamento operativo ufficiale italiano su vulnerabilità già sfruttate, che riguardano software largamente presente in PA e imprese.

Perché è rilevante: I bollettini del CSIRT offrono materiale operativo immediato per la gestione delle vulnerabilità: applicare tempestivamente le patch dei prodotti segnalati è una misura di base attesa dalla NIS2 e un presidio concreto contro gli attacchi che sfruttano falle già note.

Azione pratica: Integrare i bollettini settimanali del CSIRT nel processo di gestione delle vulnerabilità, applicando con priorità le patch Atlassian e verificando i sistemi LiteSpeed e cPanel.

Per leggere l’articolo completo: https://www.acn.gov.it/portale/w/la-settimana-cibernetica-del-21-giugno-2026

• • •

25/06/2026  |  Fonte: cybersecurity360.it

Ondata di ransomware sulle imprese italiane: oltre venti aziende colpite tra maggio e giugno

#ransomware  #PMI  #supplychain  #esfiltrazione  #Italia

Le analisi delle rivendicazioni pubblicate sui siti di leak dei gruppi criminali indicano almeno una ventina di organizzazioni italiane esposte in circa sei settimane tra maggio e giugno, in settori strategici: utility e gestione rifiuti, dispositivi medici, manifattura, energia, agroalimentare ed elettronica. Tra i gruppi più attivi figurano SafePay, DragonForce, Qilin, Akira e altri. Il fenomeno colpisce soprattutto piccole e medie imprese – spesso eccellenze di settore ma con risorse di sicurezza limitate – e molte di esse sono inserite in catene di fornitura internazionali, con un evidente rischio di propagazione lungo la supply chain.

Perché è rilevante: Conferma che il bersaglio principale sono le PMI italiane, e non solo le grandi aziende: un dato che i DPO e i responsabili IT possono usare per allertare la direzione e i fornitori su minacce reali e attuali, con impatti diretti in termini di data breach.

Azione pratica: Adottare backup offline testati, autenticazione a più fattori sugli accessi remoti, aggiornamento tempestivo degli apparati perimetrali e un piano di risposta agli incidenti che consideri l’esfiltrazione e la pubblicazione dei dati.

Per leggere l’articolo completo: https://www.cybersecurity360.it/nuove-minacce/ransomware/attacchi-ransomware-aziende-italiane-oggi/

• • •

29/06/2026  |  Fonte: techradar.com

Violazione KDDI: fino a 14 milioni di credenziali email esposte da sei provider

#databreach  #credenziali  #credentialstuffing  #password  #MFA

Il gruppo giapponese di telecomunicazioni KDDI ha dichiarato una violazione che ha potenzialmente esposto coppie di email e password fino a circa 14 milioni di clienti attuali ed ex, distribuiti su sei provider internet. Gli attaccanti hanno sfruttato una vulnerabilità in un software di terze parti per accedere al database delle credenziali; l’azienda ha bloccato l’accesso dopo aver rilevato l’intrusione a metà giugno. Solo una parte delle password risultava cifrata. Agli utenti è stato chiesto di cambiare la password e attivare l’autenticazione a due fattori. È un promemoria di come le fughe di credenziali alimentino attacchi di credential stuffing a catena su altri servizi, un rischio concreto per chiunque riutilizzi le stesse password.

Perché è rilevante: Il riuso delle password tra servizi diversi trasforma una singola violazione in un rischio diffuso: un tema che riguarda tanto gli utenti quanto le organizzazioni, che devono presidiare gli accessi e imporre buone pratiche sulle credenziali.

Azione pratica: Imporre password uniche per ogni servizio, preferibilmente tramite un gestore di password, e attivare l’autenticazione a più fattori o le passkey; per le aziende, monitorare gli accessi anomali e forzare il reset delle credenziali compromesse.

Per leggere l’articolo completo: https://www.techradar.com/pro/security/over-14-million-login-credentials-leaked-from-six-isps-in-major-data-breach-heres-what-we-know

• • •

30/06/2026  |  Fonte: cybersecurity360.it

Trasferimenti UE-USA di nuovo a rischio dopo una sentenza americana sulla FTC

#trasferimenti  #DataPrivacyFramework  #FTC  #adeguatezza  #cloud

Torna l’incertezza sui trasferimenti di dati tra Unione europea e Stati Uniti dopo una pronuncia della Corte Suprema statunitense secondo cui la Federal Trade Commission non sarebbe più protetta come autorità indipendente rispetto al potere del Presidente. Poiché la FTC è tra le autorità che presidiano le garanzie del Data Privacy Framework, la decisione mette in dubbio la tenuta dell’accordo che consente il flusso di dati verso le grandi piattaforme americane. L’associazione noyb ha lanciato l’allarme e la Commissione europea dovrà valutare l’impatto sulla decisione di adeguatezza. Per imprese e PA che utilizzano fornitori cloud statunitensi è un segnale da monitorare con attenzione.

Perché è rilevante: Se il Data Privacy Framework dovesse vacillare, molte organizzazioni si troverebbero a dover rivedere la base giuridica dei propri trasferimenti verso fornitori statunitensi, con impatti concreti su servizi cloud, posta elettronica e strumenti di collaborazione ampiamente diffusi.

Azione pratica: Mappare i trasferimenti verso fornitori USA e predisporre un piano di contingenza basato su clausole contrattuali tipo e misure supplementari, evitando di dipendere da un’unica base giuridica per i flussi transatlantici.

Per leggere l’articolo completo: https://www.cybersecurity360.it/news/trasferimenti-dati-ue-usa-traballa-laccordo-dopo-sentenza-su-ftc/

 

 

7. Approfondimenti metodologici per il DPO

 

12/06/2026  |  Fonte: federprivacy.org

Informative trasparenti: non solo per evitare sanzioni, ma per costruire fiducia

#trasparenza  #informative  #fiducia  #accountability  #leggibilità

In occasione dell’uscita del numero 2/2026 della rivista Privacy News, l’approfondimento richiama l’importanza di fornire informative trasparenti e comprensibili, non solo per evitare le sanzioni del Garante ma anche per guadagnare la fiducia degli utenti. Viene citato uno studio secondo cui una privacy policy media sfiora le settemila parole, con circa mezz’ora di lettura, spesso incomprensibile senza l’aiuto di un professionista; e un’indagine secondo cui per la maggioranza dei consumatori il corretto trattamento dei dati è un fattore determinante nella scelta di un’azienda. Il messaggio è che la trasparenza sostanziale è al tempo stesso un obbligo di conformità e una leva competitiva.

Perché è rilevante: Ricorda a titolari e DPO che l’obbligo di trasparenza non si esaurisce nel redigere un’informativa completa, ma richiede che sia effettivamente chiara e leggibile: un’informativa incomprensibile è un rischio di non conformità e una perdita di fiducia.

Azione pratica: Rivedere le informative per renderle concise e leggibili, misurandone lunghezza e comprensibilità e privilegiando un linguaggio chiaro rispetto alla mera completezza formale.

Per leggere l’articolo completo: https://www.federprivacy.org/informazione/flash-news/pubblicato-il-n-2-2026-del-magazine-privacy-news-dedicato-alla-trasparenza-dei-trattamenti-di-dati-personali

• • •

30/06/2026  |  Fonte: lentepubblica.it

Data breach, minori e verifica dell’età: le priorità europee tra plenaria EDPB e G7

#databreach  #minori  #verificaetà  #G7  #cooperazione

Un approfondimento di settore lega le due direttrici emerse a giugno dalle autorità di protezione dei dati. Da un lato la 121a plenaria dell’EDPB, che ha approvato in consultazione il nuovo modello europeo di notifica dei data breach da integrare con il Single Entry Point, e ha discusso linee guida su pubblicità politica, anonimizzazione e tutela dei minori, con l’esperienza italiana su cyberbullismo e contrasto alla diffusione illecita di immagini. Dall’altro il G7 delle Autorità privacy, riunito a Parigi, che ha adottato principi comuni sulla verifica dell’età e buone pratiche per la protezione dei bambini online, ribadendo l’importanza della cooperazione internazionale. È il segnale che minori e data breach saranno terreni di attenzione crescente.

Perché è rilevante: Per il DPO offre una lettura pratica delle priorità in arrivo: standardizzazione della notifica delle violazioni e, soprattutto, un irrigidimento sulla tutela dei minori e sulla verifica dell’età, temi che toccheranno scuole, piattaforme e servizi rivolti ai più giovani.

Azione pratica: Allineare le procedure di notifica del data breach al futuro modello europeo e, per chi tratta dati di minori, anticipare l’irrigidimento rivedendo consensi, meccanismi di verifica dell’età e DPIA dedicate.

Per leggere l’articolo completo: https://lentepubblica.it/pa-digitale/data-breach-nuove-regole-europee-in-arrivo-focus-su-ia-minori-e-privacy/

• • •

30/06/2026  |  Fonte: altalex.com

L’autorizzazione dell’interessato non sana un trattamento illecito (Garante, provv. n. 381/2026)

#accountability  #minimizzazione  #consenso  #accessocivico  #PA

èUn commento di settore analizza il provvedimento del Garante n. 381 del 28 maggio 2026, ripreso a fine giugno, relativo a una richiesta di accesso civico generalizzato in cui i dati personali del richiedente – indirizzo di residenza e recapito telefonico – erano stati comunicati integralmente al controinteressato. L’amministrazione si era giustificata invocando una dichiarazione con cui l’interessato autorizzava ogni trattamento connesso alla richiesta. Il Garante ha censurato questa impostazione: l’autorizzazione dell’interessato non può sanare un trattamento illecito né esonerare il titolare dai principi di accountability e minimizzazione, poiché i dati trasmessi erano eccedenti rispetto alla finalità. Il caso ribadisce che il consenso non legittima trattamenti sproporzionati.

Perché è rilevante: È una lezione metodologica trasversale ma particolarmente utile agli uffici PA che gestiscono accesso civico e FOIA: la comunicazione di dati eccedenti resta illecita anche in presenza di un’autorizzazione generica dell’interessato, che non sostituisce la valutazione di necessità e minimizzazione.

Azione pratica: Nelle risposte alle istanze di accesso, oscurare e minimizzare i dati non necessari e non fare affidamento su autorizzazioni generiche dell’interessato per giustificare la comunicazione di dati eccedenti.

Per leggere l’articolo completo: https://www.altalex.com/documents/news/2026/06/30/autorizzazione-parte-interessato-salva-trattamenti-illeciti

 

 

COSA FARE QUESTO MESE: INDICAZIONI PRATICHE

Una sintesi operativa, in linguaggio semplice, delle azioni concrete suggerite dai provvedimenti e dai segnali del mese.

• Informative e conservazione dei dati sanitari (subito, per trasporti, turismo, sanità e chiunque tratti dati di salute su base normativa): verifica che l’informativa sia chiara e accessibile, che i moduli sanitari siano richiesti solo a chi è realmente tenuto e che i tempi di conservazione siano proporzionati e documentati, con cancellazione automatica alla scadenza (lezione dal caso Emirates).
• Migrazione e riuso di dati tra sistemi o registri (PA e gestori di banche dati): prima di riversare dati da un sistema all’altro, informa preventivamente gli interessati e prevedi una finestra per l’esercizio dei diritti prima della pubblicazione; documenta le impostazioni predefinite in ottica privacy by design (lezione dal caso AgID/INAD).
• Videosorveglianza urbana (Comuni e PA): mappa le finalità dichiarate per ciascun impianto e non riutilizzare i filmati di sicurezza urbana per accertare infrazioni amministrative senza una base giuridica specifica; disciplina per iscritto le comunicazioni delle immagini a terzi.
• Foto e immagini di minori (scuole, associazioni sportive, oratori, sanità pediatrica): raccogli sempre il consenso di entrambi i genitori prima di pubblicare immagini di minori under 14; predisponi moduli e procedure di verifica, ricordando che finalità affettiva, profilo privato o numero limitato di foto non rendono lecita la pubblicazione.
• Intelligenza artificiale in ambito educativo e HR: prima di introdurre strumenti di IA generativa svolgi e documenta una DPIA, verifica base giuridica, trasparenza verso gli interessati (e i genitori per i minori), ruoli con i fornitori tecnologici ed eventuali decisioni automatizzate (lezione dal caso Salesiani).
• Trasparenza retributiva (datori pubblici e privati): avvia da subito la preparazione degli adempimenti del D.Lgs. 96/2026 trattandoli come veri e propri trattamenti di dati; predisponi una DPIA, definisci soglie di aggregazione che evitino la re-identificazione nei gruppi ristretti, fissa tempi di conservazione e aggiorna informative e basi giuridiche.
• Data breach: preparati al modello unico europeo (DPO e team sicurezza): segui la consultazione EDPB aperta fino al 5 agosto 2026 e allinea in anticipo le procedure interne di notifica al futuro schema a campi predefiniti e al Single Entry Point, così da non arrivare impreparati all’adozione.
• Trasferimenti extra-UE (imprese e PA che usano cloud statunitensi): mappa i trasferimenti verso fornitori USA e predisponi un piano di contingenza (clausole contrattuali tipo, misure supplementari) nel caso in cui il Data Privacy Framework venga indebolito; non affidarti a un’unica base giuridica.
• AI Act, nuovo calendario (fornitori e utilizzatori di IA): aggiorna la roadmap di conformità con le date del Digital Omnibus (obbligo di marcatura dei contenuti sintetici e divieto delle app che generano immagini intime false dal 2 dicembre 2026; obblighi sull’alto rischio rinviati). Fino alla pubblicazione in Gazzetta Ufficiale restano valide le scadenze originarie: non allentare i preparativi.
• Shadow AI (tutte le organizzazioni): adotta o aggiorna una policy sull’uso dell’intelligenza artificiale, forma il personale, tieni un inventario degli strumenti IA autorizzati e controlla i flussi di dati verso servizi esterni, per evitare che l’uso sommerso di chatbot diventi una fonte di data breach.
• Accesso agli atti e minimizzazione (uffici PA che gestiscono FOIA e accesso civico): nelle risposte oscura e minimizza i dati non necessari e non fare affidamento su autorizzazioni generiche dell’interessato, che non sanano una comunicazione di dati eccedenti (lezione dai provvedimenti del mese).
• Password e credenziali (subito, dopo le grandi violazioni del mese): imponi password uniche per ogni servizio, attiva l’autenticazione a più fattori resistente al phishing sugli account amministrativi e forma il personale a riconoscere le telefonate ingannevoli (vishing), vettore di accesso in diversi incidenti recenti.
• NIS2 – patch management (soggetti nel perimetro e loro fornitori IT): integra i bollettini settimanali del CSIRT Italia nel processo di gestione delle vulnerabilità, applicando con priorità le patch dei prodotti segnalati come attivamente sfruttati (es. le vulnerabilità critiche Atlassian e LiteSpeed di giugno).

 

 

SCADENZE NORMATIVE IN ARRIVO

Il quadro delle principali scadenze normative che impattano su protezione dati, cybersecurity e intelligenza artificiale. Per ciascuna indichiamo CHI è effettivamente tenuto, così da evitare allarmi inutili a chi non rientra nel perimetro. In evidenza, in alto, i termini più vicini; a seguire l’orizzonte completo per pianificare per tempo gli adempimenti.

 In evidenza: scadenze imminenti (prossimi mesi)

▶ 05/08/2026  –  EDPB – modello notifica data breach

Chi è tenuto: Aperta a tutti gli interessati: titolari, DPO, associazioni e professionisti che vogliano inviare commenti. L’adozione riguarderà poi qualsiasi titolare tenuto alla notifica ex art. 33 GDPR.

Termine della consultazione pubblica sul modello europeo comune di notifica delle violazioni dei dati personali adottato dall’EDPB. Dopo la consultazione, le autorità decideranno tempi e modalità di adozione.

▶ 02/08/2026  –  AI Act – piena applicabilità

Chi è tenuto: Fornitori e utilizzatori (deployer) di sistemi di IA che operano nell’UE. Gli obblighi più stringenti riguardano i sistemi ad alto rischio; per chi usa IA a basso rischio valgono soprattutto trasparenza e alfabetizzazione. Riguarda sia enti pubblici sia imprese.

Diventano applicabili gran parte delle disposizioni dell’AI Act (governance, modelli di IA per finalità generali, regime sanzionatorio). Gli obblighi per i sistemi ad alto rischio dell’Allegato III risultano però rinviati (vedi 02/12/2027) dal pacchetto Digital Omnibus.

▶ 12/09/2026  –  Data Act – progettazione

Chi è tenuto: Fabbricanti di prodotti connessi (IoT, macchinari, veicoli, elettrodomestici smart) e fornitori di servizi correlati, in particolare MEDIE e GRANDI imprese. Le micro e piccole imprese godono di esenzioni. Gli enti pubblici sono toccati soprattutto come utenti/acquirenti.

Si applicano gli obblighi di progettazione (access-by-design) per prodotti connessi e servizi correlati: i dati generati devono essere accessibili a utenti e terzi autorizzati.

▶ 31/10/2026  –  NIS2 – misure di sicurezza

Chi è tenuto: Solo i soggetti ESSENZIALI e IMPORTANTI nel perimetro NIS2. Dopo questa data scatta la fase ispettiva dell’ACN. NON riguarda chi è fuori dal perimetro.

Termine per rendere pienamente operative le misure di sicurezza di base previste dalla Determinazione ACN, con evidenze documentali. Dopo questa data l’ACN passa dalla fase di supporto a quella ispettiva.

▶ 02/12/2026 –  AI Act – watermarking e divieto nudifier

Chi è tenuto: Fornitori e utilizzatori di sistemi di IA generativa che producono contenuti sintetici (testo, immagini, audio, video). Il divieto delle app che generano immagini intime false e materiale pedopornografico riguarda chiunque le sviluppi o le distribuisca.

Secondo il pacchetto Digital Omnibus entrano in vigore l’obbligo di marcatura (watermarking) dei contenuti generati dall’IA e il nuovo divieto delle applicazioni nudifier e CSAM.

 

 

Orizzonte successivo

12/09/2027  –  Data Act – contratti

Chi è tenuto: Imprese che hanno in essere contratti di accesso/condivisione dati con clausole potenzialmente abusive; rilevante soprattutto per fornitori di servizi cloud e di prodotti connessi.

Le regole sulle clausole contrattuali abusive in materia di accesso e uso dei dati si estendono anche ai contratti già in essere alla data di applicazione.

02/12/2027  –  AI Act – alto rischio (Allegato III)

Chi è tenuto: Solo fornitori e utilizzatori di sistemi di IA classificati ad ALTO RISCHIO (biometria, infrastrutture critiche, istruzione, selezione del personale, servizi essenziali, giustizia, frontiere). Riguarda sia PA sia imprese che usano questi sistemi; NON i sistemi di IA a rischio limitato o minimo.

Termine (rinviato dal Digital Omnibus) per gli obblighi sui sistemi di IA ad alto rischio dell’Allegato III cosiddetti stand-alone.

02/08/2028  –  AI Act – prodotti regolamentati

Chi è tenuto: Fabbricanti di prodotti già soggetti a normativa settoriale di sicurezza (dispositivi medici, macchine, giocattoli, ecc.) che integrano sistemi di IA ad alto rischio.

Termine (rinviato dal Digital Omnibus) per gli obblighi sui sistemi di IA ad alto rischio integrati in prodotti già soggetti a normativa settoriale di sicurezza.

28/06/2030  –  European Accessibility Act

Chi è tenuto: Imprese che offrono al pubblico prodotti e servizi rientranti nell’EAA (e-commerce, banche, trasporti, e-book, comunicazioni elettroniche); microimprese che erogano servizi sono in larga parte esentate. La PA resta soggetta agli obblighi di accessibilità già vigenti.

Fine del periodo transitorio: i prodotti già immessi sul mercato prima del 28/06/2025 dovranno essere conformi. I nuovi prodotti e servizi sono soggetti agli obblighi già dal 28/06/2025 (servizi di emergenza dal 28/06/2027).

 

 

La rassegna è curata dal team iSimply e Gruppo 2G dedicato a Privacy e protezione dei dati e Trasformazione digitale, a supporto dei Titolari nostri clienti. Ogni mese selezioniamo e verifichiamo le novità più rilevanti – provvedimenti del Garante, atti dell’EDPB e delle istituzioni europee, giurisprudenza, evoluzioni su AI Act e NIS2 e strumenti operativi per il DPO – con un taglio pensato per i Titolari, in particolare Comuni ed enti pubblici.