NEWSLETTER N. 550 del 29 luglio 2026

• Dal Garante privacy sanzione di 460mila a Piaggio & C. Spa
• Marketing: il Garante privacy sanziona Altroconsumo Edizioni per 280mila euro
• AI Act, Garante: sì allo schema di decreto legislativo, ma con maggiori garanzie
• AI Act, Garante privacy: rafforzare le tutele per i dati biometrici
• Data breach, il Garante sanziona la Città Metropolitana di Sassari

Dal Garante privacy sanzione di 460mila a Piaggio & C. Spa
Raccolta sistematica delle email dei dipendenti

Il Garante per la protezione dei dati personali ha irrogato a Piaggio & C. Spa una sanzione di 460 mila euro, per violazioni della normativa sulla privacy relative alla gestione delle caselle di posta elettronica aziendale, alla conservazione dei dati e alle attività di controllo dei dipendenti.

Dall’istruttoria, avviata a seguito dei reclami di due ex dipendenti, è emerso che la società aveva effettuato accessi alle loro email aziendali, nel corso del rapporto di lavoro, acquisendo in totale 112 email, al fine di verificare la fondatezza di presunti comportamenti illeciti.

In alcuni casi le email acquisite risalivano addirittura a circa due anni prima che la società maturasse tale sospetto.

Un monitoraggio reso possibile dalla sistematica raccolta e conservazione dei dati relativi alla posta elettronica, effettuate da Piaggio mediante backup per tutta la durata del rapporto di lavoro e fino a 5 anni dopo la cessazione, nonché dei relativi log, per un periodo di 6 mesi, in violazione dei principi del Gdpr e in assenza delle garanzie previste dallo Statuto dei lavoratori.

I trattamenti messi in atto dalla società, infatti, si sono rivelati idonei a ricostruire l’attività dei dipendenti e ad effettuare un controllo a distanza.

L’Autorità ha inoltre rilevato criticità nella conservazione dei dati, giudicando eccessivi i tempi di mantenimento delle email aziendali e dei log di accesso, nonché carenze nelle informazioni fornite ai dipendenti sulle finalità e sulle basi giuridiche del trattamento. A Piaggio è stata anche contestata la mancata risposta alle richieste di esercizio dei diritti degli ex dipendenti relative alla conferma della disattivazione degli account.

Nel dichiarare illecito il trattamento dei dati personali relativi alla posta elettronica aziendale, il Garante ha vietato a Piaggio l’accesso ai dati raccolti e conservati sui propri sistemi e ha irrogato una sanzione amministrativa.

Marketing: il Garante privacy sanziona Altroconsumo Edizioni per 280mila euro

Il Garante per la protezione dei dati personali ha irrogato una sanzione di 280mila euro ad Altroconsumo Edizioni Srl per numerose violazioni della normativa privacy. Le contestazioni riguardano l’utilizzo dei dati degli utenti, raccolti mediante il sito www.altroconsumo.it per attività di email marketing, nonché il ritardo nel rispondere alle richieste di esercizio dei diritti.

Il procedimento prende avvio dal reclamo di un cittadino che lamentava la ricezione di email promozionali inviate dalla società editoriale, in assenza delle necessarie basi di legittimità e nonostante l’interessato avesse già chiesto di non ricevere più questo tipo di comunicazioni.

Il reclamante non aveva mai compilato il form presente sul sito per diventare socio, né la società è stata in grado di dimostrare la correttezza del rapporto contrattuale.

Nel corso dell’istruttoria infatti è emerso che Altroconsumo, nella procedura di registrazione degli utenti al proprio sito web, non aveva adottato misure tecniche e organizzative idonee a prevenire il rischio di trattamenti illeciti, soprattutto nei casi in cui la registrazione e il rapporto contrattuale non si fossero perfezionati. In particolare, il Garante ha accertato che anche quando gli utenti decidevano di non confermare la creazione dell’account, e dunque di non iscriversi al sito, Altroconsumo considerava comunque perfezionato il rapporto contrattuale e procedeva all’invio di email promozionali.  

Tra le numerose violazioni accertate vi è anche la mancata adozione di misure idonee a garantire l’effettivo esercizio dei diritti degli utenti e a fornire riscontro alle loro richieste senza ingiustificato ritardo. Su quest’ultimo aspetto, la società era già stata sanzionata dall’Autorità con un precedente provvedimento.

Oltre alla sanzione pecuniaria, il Garante ha ordinato ad Altroconsumo di cessare il trattamento dei dati di coloro che non hanno confermato la creazione del proprio account e di adeguare le procedure di trattamento dei dati al GDPR.

AI Act, Garante: sì allo schema di decreto legislativo, ma con maggiori garanzie

Parere favorevole del Garante per la protezione dei dati personali sullo schema di decreto legislativo che disciplina l’attuazione in Italia dell’AI Act europeo. Il decreto definisce il sistema nazionale di governance e vigilanza sull’intelligenza artificiale e designa il Garante quale Autorità di vigilanza del mercato per i sistemi di intelligenza artificiale ad alto rischio impiegati nei settori più sensibili per i diritti fondamentali, quali giustizia, attività di contrasto, immigrazione, gestione delle frontiere e processi democratici. Il provvedimento, inoltre, introduce regole per i settori finanziario e assicurativo e promuove percorsi di alfabetizzazione digitale e formazione sull’uso consapevole dell’IA nelle scuole, nelle università e nei percorsi professionali.

Nel dare il via libera, l’Autorità ha tuttavia indicato ulteriori condizioni e osservazioni per rafforzare la tutela dei diritti delle persone. Tra le principali richieste, il Garante propone che gli sia riconosciuto il potere di adottare linee guida, raccomandazioni e buone pratiche al pari delle altre Autorità competenti per l’IA; che siano chiarite le regole per l’applicazione delle sanzioni di sua competenza, secondo quanto previsto dal Codice privacy; e che sia coinvolto nelle attività dello Spazio di sperimentazione italiano per l’intelligenza artificiale.

Il Garante chiede che venga inoltre chiarito il proprio ruolo nell’ambito delle procedure di valutazione della conformità dei sistemi di IA ad alto rischio, per i quali l’AI Act gli attribuisce specifiche funzioni di vigilanza, e propone di estendere il divieto di decisioni basate esclusivamente su sistemi automatizzati di IA anche alle valutazioni che possono incidere in modo significativo sul rapporto di lavoro, come quelle relative alle prestazioni, all’attribuzione di premi o alle progressioni di carriera.

L’Autorità, infine, richiama in linea generale l’esigenza di adeguare le proprie risorse finanziarie alle nuove competenze attribuitele anche dalla normativa europea, affinché possa svolgere con efficacia le funzioni di vigilanza previste dall’AI Act e attuate dallo schema di decreto. 

AI Act, Garante privacy: rafforzare le tutele per i dati biometrici

Via libera del Garante Privacy allo schema di decreto legislativo che adegua la normativa italiana all’AI Act, il Regolamento europeo sull’intelligenza artificiale. Il provvedimento disciplina l’impiego dei sistemi di intelligenza artificiale da parte delle Forze di polizia, definendo limiti, presupposti e garanzie per il trattamento dei dati biometrici e per l’uso di tecnologie di identificazione biometrica da remoto.

Il Garante, pur ritenendo il decreto complessivamente coerente con l’AI Act e con la legge delega n.132/2025, individua alcuni profili da integrare. In particolare, chiede di chiarire il ruolo della supervisione umana nei sistemi di IA, di definire con maggiore precisione le responsabilità nei progetti di ricerca e sperimentazione, di coinvolgere il Garante negli spazi di sperimentazione normativa che comportino trattamenti di dati personali e di rafforzare le garanzie relative alla qualità delle banche dati biometriche utilizzate per l’identificazione.

Il trattamento automatizzato e generalizzato dei dati biometrici delle persone che accedono a luoghi o eventi pubblici non è, secondo il Garante, coerente con l’AI Act, che consente il riconoscimento facciale ex post solo per ricerche mirate. L’elaborazione dei dati biometrici dovrebbe quindi avvenire esclusivamente sulle registrazioni già acquisite e in presenza di una specifica esigenza operativa, evitando raccolte massive e preventive.

Infine, il Garante chiede che anche le disposizioni relative all'identificazione biometrica disciplinate dal nuovo articolo 359-ter del codice di procedura penale prevedano l’espresso divieto di utilizzare banche dati ottenute mediante tecniche di scraping indiscriminato o in violazione della normativa sulla protezione dei dati personali.

Data breach, il Garante sanziona la Città Metropolitana di Sassari
12mila euro per errata configurazione del protocollo informatico

Il Garante privacy, a seguito di una notifica di data breach e di un reclamo, ha sanzionato la Città Metropolitana di Sassari per aver configurato erroneamente il proprio protocollo informatico, rendendo accessibili documenti contenenti dati personali a soggetti che, in ragione del ruolo ricoperto e delle mansioni svolte, non erano autorizzati a trattarli.

La Città Metropolitana ha agito così violando i principi di protezione dei dati sanciti dal GDPR, in particolare di integrità e riservatezza, responsabilizzazione e protezione dei dati fin dalla progettazione e per impostazione predefinita.

Richiamando proprie precedenti decisioni, l’Autorità ha ribadito che anche nell’ambito dei trattamenti di dati personali effettuati mediante i sistemi di gestione documentale è necessario adottare misure tecniche e organizzative idonee ad assicurare l’accesso selettivo alla documentazione presente nel protocollo informatico, per evitare la consultabilità di documenti da parte di personale non autorizzato. In particolare, in merito alla protocollazione di documenti contenenti dati personali dei dipendenti e inerenti allo specifico rapporto di lavoro, è necessario ricorrere a procedure differenziate e riservate.

Rilevato l’illecito, il Garante ha quantificato la sanzione in 12mila euro, tenendo conto, tra l’altro, del fatto che l’Autorità, fin dal 2007, ha fornito ai datori di lavoro pubblici e privati indicazioni sul corretto trattamento dei dati nell’ambito della gestione del rapporto di lavoro, che la violazione ha riguardato tutti i dati personali transitati sul protocollo informatico e che il trattamento ha avuto ad oggetto anche dati delicati rilevanti ai fini disciplinari.

L'ATTIVITÀ DEL GARANTE - PER CHI VUOLE SAPERNE DI PIÚ

Gli interventi e i provvedimenti più importanti recentemente adottati dall'Autorità

- Il Garante privacy sanziona Lusha per 2 milioni di euro. Monitorati e in vendita i dati di un elevato numero di persone – Comunicato del 27 luglio 2026

- Energia, Garante: Sì alla conoscenza dello score alla base del contratto negato – Comunicato del 21 luglio 2026

- I Garanti privacy europei all'UE: rafforzare la cooperazione tra le autorità di regolazione. A Dublino il Gruppo di Alto Livello del Comitato europeo per la protezione dei dati - Comunicato del 17 luglio 2026

NEWSLETTER del Garante per la protezione dei dati personali (Reg. al Trib. di Roma n. 654 del 28 novembre 2002)
Direttore responsabile: Stefano Sabella
Direzione e redazione: Garante per la protezione dei dati personali, Piazza Venezia, n. 11 - 00187 Roma.
Tel: 06.69677.2751 - Fax: 06.69677.3785
Newsletter è consultabile sul sito Internet www.gpdp.it