NEWSLETTER N. 551 dell'11 settembre 2026

• Privacy, sanzionato Banco Bilbao Italia per 5,5 milioni di euro
• Garante Privacy, azienda sanitaria di Udine sanzionata per 24mila euro
• Telecamere negli spogliatoi di una piscina, Garante sanziona ASIS Trento
• Graduatorie sul web: no ai dati degli iscritti nelle liste dei centri per l’impiego
• Registro nazionale diabete: ok del Garante privacy
• On line l’ottavo episodio del Podcast “A proposito di privacy”
• La Cassazione rafforza i poteri del Garante privacy

 Privacy, sanzionato Banco Bilbao Italia per 5,5 milioni di euro
La banca inviava comunicazioni promozionali nell’app nonostante i “no” del cliente 

Maxi-multa da oltre 5,5 milioni di euro per Banco Bilbao Vizcaya Argentaria Italia (BBVA). Il Garante per la privacy ha sanzionato l’istituto dopo il reclamo di un cliente che, pur avendo manifestato la propria opposizione alla ricezione delle comunicazioni commerciali tramite l’app e poi ribadito il proprio “no” al Servizio clienti, ha continuato a ricevere messaggi promozionali.

Un caso che, secondo l’Autorità, evidenzia una falla nei processi di gestione dei dati.

Un errore tecnico che ha impedito, secondo la banca, il corretto allineamento tra i sistemi aziendali e la piattaforma incaricata di governare le comunicazioni commerciali alla clientela. Di conseguenza, il cliente ha continuato a ricevere comunicazioni commerciali non richieste per sette mesi, da ottobre 2025 a maggio 2026.

Un malfunzionamento per il Garante non sufficiente a escludere la responsabilità della banca.

L'istruttoria ha inoltre evidenziato ulteriori criticità: la banca non avrebbe fornito al cliente un riscontro corretto nell’esercizio dei suoi diritti, arrivando anche a comunicare informazioni errate sul funzionamento dei trattamenti interni.

La decisione del Garante (n. 613 del 3.9.2026 doc. web n. 10291895) mette in evidenza un principio di portata più ampia: non è sufficiente che il “no” del cliente venga registrato da un sistema se poi l’organizzazione non è in grado di garantirne l’effettiva applicazione. Il rispetto delle norme sulla privacy, dunque, non può fermarsi alla singola app o al singolo database. I diversi sistemi aziendali devono poter dialogare correttamente e le procedure devono garantire che la scelta del cliente venga rispettata lungo tutte le fasi del trattamento dei dati.

Oltre alla sanzione di oltre 5 milioni e mezzo di euro, il Garante ha prescritto a Banco Bilbao Italia di adottare adeguate misure tecniche e organizzative volte a facilitare l’esercizio dei diritti degli interessati e a garantire una corretta e tempestiva gestione delle loro richieste.

Garante privacy, azienda sanitaria di Udine sanzionata per 24mila euro
Il dossier sanitario è accessibile solo per ragioni di cura

Il Garante privacy ha inflitto una sanzione di 24mila euro all’Azienda sanitaria universitaria Friuli centrale (ASUFC) di Udine per non aver configurato il dossier sanitario aziendale in modo tale da impedire al personale di visionare lo stato di salute dei colleghi per finalità diverse da quelle di cura.

Con provvedimento (n. 616 del 3 settembre 2026, doc. web n. 10293994) l’Autorità – intervenuta a seguito del reclamo di una dipendente, che era al contempo paziente dell’ospedale – ha accertato che una collega del reparto dove lavorava, aveva avuto liberamente accesso al suo dossier sanitario per verificare, durante la pandemia, l’eventuale positività al Covid-19 e pianificare i turni.

Secondo l’azienda sanitaria la pratica si era resa necessaria per sapere su quali risorse umane poter contare e per garantire la tutela degli operatori e dei pazienti ricoverati.

Nel provvedimento il Garante ha ribadito come l’accesso al dossier sanitario sia consentito solo ai medici e al personale che ha in cura un paziente, e non per esigenze organizzative e amministrative, specie se l’ospedale è sia il datore di lavoro che l’autorità sanitaria che lo ha in carico.

Le finalità amministrative e organizzative devono essere infatti perseguite utilizzando strumenti a ciò dedicati e non il dossier sanitario, che nasce per aiutare il professionista ad inquadrare lo stato di salute del paziente nel suo percorso medico. L’uso del dossier per finalità amministrative costituisce peraltro una modalità inefficiente in quanto per sua natura incompleto, avendo l’interessato la possibilità di oscurare i dati sanitari che magari sono indispensabili proprio per la finalità organizzativa perseguita.

Nel corso dell’istruttoria il Garante privacy ha inoltre accertato che il dossier della reclamante era stato oggetto anche di altri accessi abusivi da parte di professionisti sanitari che non l’avevano in cura. Entrambi gli illeciti erano stati possibili perché la configurazione del dossier sanitario aziendale non prevedeva specifici limiti all’accesso, né sistemi di alert automatici finalizzati a segnalare eventuali possibili condotte illecite dei dipendenti.

Oltre alla sanzione pecuniaria, l’Autorità ha ordinato all’azienda ospedaliera di adottare misure tecniche ed organizzative idonee a garantire la tutela dei dati dei pazienti e dei dipendenti. In particolare, l’adozione di sistemi di controllo degli accessi e di rilevamento delle anomalie.

Telecamere negli spogliatoi di una piscina, Garante sanziona ASIS Trento

Negli spogliatoi la tutela della privacy deve essere massima. L’utilizzo di sistemi di videosorveglianza non è ammesso in ambienti e spazi in cui possono essere lesi la dignità, l’intimità e i diritti delle persone.

Lo ha ribadito il Garante per la protezione dei dati personali, comminando una sanzione di 8mila euro nei confronti dell’Azienda Speciale per la Gestione degli Impianti Sportivi del Comune di Trento (ASIS), con il provvedimento n. 619 approvato dal Collegio dell’Autorità il 3 settembre 2026 doc. web n. 10294255.  

L’Autorità ha avviato gli accertamenti a seguito di alcune segnalazioni e notizie di stampa relative alla presenza di telecamere negli spogliatoi della piscina del Centro sportivo Trento Nord, a Gardolo. Le telecamere, installate a partire dal 2007, riprendevano l’area degli armadietti utilizzati dagli utenti per custodire i propri effetti personali. ASIS aveva attivato il sistema per prevenire e accertare furti di portafogli e telefoni verificatisi nella struttura. Sebbene le riprese non comprendessero le cabine per il cambio degli abiti, le docce e i servizi igienici, il Garante ha rilevato che interessavano comunque un luogo caratterizzato da un’elevata aspettativa di riservatezza. Il trattamento dei dati è, pertanto, risultato privo di una base giuridica adeguata e non conforme ai principi di liceità, correttezza e trasparenza. Sono emerse anche carenze nelle informative fornite agli utenti sull’attivazione del sistema di videosorveglianza. Inoltre, anche l’informativa specifica destinata ai lavoratori interessati dalle riprese è stata fornita soltanto dopo l’avvio dell’istruttoria. L’Autorità ha contestato anche la conservazione delle immagini per 72 ore, non supportata da una specifica valutazione che ne dimostrasse la necessità.

Nel corso del procedimento ASIS ha disattivato e rimosso le telecamere dagli spogliatoi, aggiornato la cartellonistica e le informative relative al complessivo sistema di videosorveglianza e ridotto i tempi di conservazione delle immagini.

Nel determinare l’importo contenuto della sanzione, il Garante ha tenuto conto della collaborazione dell’Azienda e dell’assenza di precedenti violazioni.

Graduatorie sul web: no ai dati degli iscritti nelle liste dei centri per l’impiego
Sanzionata l’Agenzia Regionale per il lavoro dell’Emilia Romagna per 30mila euro

Nel rispetto delle disposizioni in materia di trasparenza amministrativa, le amministrazioni e gli altri soggetti obbligati sono tenuti a pubblicare online le graduatorie finali recanti i dati personali dei soli partecipanti risultati vincitori della procedura concorsuale.

È quanto ha ribadito il Garante con provvedimento (n. 550 del 23 luglio 2026 doc. web n. 10287084) intervenendo a seguito di un reclamo. Pertanto, l’Agenzia Regionale per il lavoro dell’Emilia Romagna è stata sanzionata al pagamento di 30mila euro per la pubblicazione online dei nominativi contenuti in una graduatoria riferita agli iscritti ai centri per l’impiego.

A questi veniva riconosciuto il diritto all’avviamento a selezione nell’ambito di una procedura per l’assunzione di un operatore addetto all’accoglienza presso un’azienda ospedaliera.

In assenza di una specifica base giuridica, l’Autorità ha precisato che la normativa che prescrive la pubblicazione delle sole “graduatorie finali”, si riferisce, esclusivamente alle procedure concorsuali scaturite da “bandi di concorso per il reclutamento” e non anche a quelle effettuate “mediante avviamento degli iscritti nelle liste di collocamento”, considerato che la sola partecipazione a tale procedura può determinare l’eventuale associazione degli interessati a una condizione di disabilità o comunque rivelare informazioni personali riguardanti aspetti economici o sociali delicati, che potrebbero determinare effetti pregiudizievoli per gli stessi, compromettendone la dignità.

In questo caso l’Agenzia Regionale avrebbe potuto ricorrere a forme di anonimizzazione del dato personale, in modo da rendere conoscibile al solo interessato la propria posizione in graduatoria, evitando la pubblicazione di dati personali online, particolarmente invasiva poiché consente a chiunque, mediante i motori di ricerca esterni, di reperire un insieme consistente di informazioni personali disponibili in rete.

Nel definire la sanzione in 30mila euro il Garante ha tenuto conto del considerevole numero di interessati coinvolti (circa 700 persone) e del protrarsi dell’illecito per un notevole lasso di tempo, ma anche della buona fede e dell’atteggiamento collaborativo dell’Agenzia, che ha rimosso dal sito e deindicizzato le informazioni personali in questione, nonché dell’assenza di precedenti violazioni pertinenti.

Registro nazionale diabete: ok del Garante privacy

Via libera del Garante allo schema di decreto che istituisce, presso il Ministero della salute, il Registro nazionale diabete: un importante archivio che contiene i dati anagrafici e socio-sanitari della popolazione, relativi a casi di diabete di diverso tipo. L’Autorità, dopo una breve ricostruzione normativa applicabile ai registri di patologia, ha espresso il suo parere positivo (n.582 del 6 agosto 2026 doc. web n. 10286868) quanto lo schema di decreto e il disciplinare tecnico hanno recepito le numerose osservazioni espresse dal Garante nell’ambito delle interlocuzioni informali che hanno preceduto la stesura del testo finale.

Le indicazioni dell’Autorità hanno inteso realizzare un equo bilanciamento tra il diritto alla protezione dei dati personali e le finalità di interesse pubblico perseguite attraverso il Registro.

Diversi gli aspetti toccati, come ad esempio, la necessità di specificare meglio i richiami normativi; di garantire il rispetto dei principi di responsabilizzazione e minimizzazione dei dati; di chiarire ruoli, responsabilità e finalità perseguite dal Registro.

Il Garante ha chiesto inoltre di cifrare i dati e di adottare misure tecniche e organizzative adeguate per la loro custodia e sicurezza, prevedendo un corretto periodo di conservazione degli stessi e la loro diffusione solo in forma aggregata.

Online l’ottavo episodio del podcast “A proposito di privacy” 
Garante privacy, algoritmi e IA: regole rischi e diritti

Chatbot che conversano come esseri umani, algoritmi che decidono a chi assegnare un lavoro o quali contenuti mostrare sui social. Nel giro di pochi anni l’intelligenza artificiale è entrata nelle nostre vite in modo pervasivo, cambiando la scuola, il lavoro, la politica, la stessa percezione della realtà.

Ma quali sono i rischi? Quali le tutele? E che ruolo gioca la protezione dei dati personali in questo scenario? Ne parliamo con il Presidente Pasquale Stanzione, nel nuovo episodio del podcast del Garante “A proposito di privacy”, disponibile su Spotify, sui canali social dell’Autorità, e sul sito istituzionale.

Al centro della puntata anche alcuni dei più importanti provvedimenti adottati dal Garante privacy in materia di trasparenza dei sistemi di AI.

La Cassazione rafforza i poteri del Garante privacy
Tre sentenze che riducono notevolmente i ricorsi indebiti

Tre sentenze della Cassazione di recente pubblicazione (nn. 22791, 24861 e 24862/ 2026) rafforzano i poteri dell’Autorità italiana Garante della privacy, chiarendone tempi e margini di intervento nell’adozione dei provvedimenti correttivi e sanzionatori. Tali sentenze ridurranno notevolmente i margini di ricorso ai provvedimenti del Garante stesso. La Cassazione, infatti, chiarisce e consolida i margini temporali entro cui il Garante può esercitare i propri poteri correttivi e sanzionatori, senza introdurre nuove regole ma precisando la portata della disciplina vigente.

Con questa precisazione della Corte il dibattito sulla reale portata applicativa di quel termine può dirsi chiuso: il sistema delineato dal Codice della privacy per l’attività del Garante non è, come qualcuno aveva sostenuto, privo di termini interni; ne ha uno, e ha la stessa funzione — cristallizzare rapidamente l’addebito nei confronti del trasgressore — che l’art. 14 della legge n. 689/1981 assegna alla contestazione nel modello generale delle sanzioni amministrative.

Per quanto riguarda i reclami, la Corte ha ribadito che il procedimento di reclamo e l’eventuale successivo procedimento correttivo e sanzionatorio sono distinti e autonomi. Di conseguenza, il superamento del termine previsto per pronunciarsi sulla “fondatezza” del reclamo presentato dall’interessato - entro nove mesi, prorogabili fino a dodici mesi - non determina la decadenza del potere sanzionatorio del Garante.

Riguardo al termine di 120 giorni, viene chiarito che non si tratta del termine per adottare il provvedimento sanzionatorio finale, ma quello entro cui il Garante deve notificare la contestazione delle violazioni. Il conteggio non parte dalla prima notizia della possibile violazione o dalle prime informazioni ricevute: i 120 giorni decorrono dal momento in cui la violazione può considerarsi definitivamente accertata. Prima del definitivo accertamento, l’Autorità può raccogliere documenti, approfondire i fatti e instaurare il contraddittorio con il soggetto interessato. Questa fase non è sottoposta a un termine perentorio predeterminato, ma deve essere condotta senza ritardi ingiustificati e secondo criteri di ragionevolezza e congruità rispetto alla complessità del caso, restando sindacabile in sede giudiziale.

Una volta notificata la contestazione entro 120 giorni dal definitivo accertamento della violazione, non è previsto un ulteriore termine di decadenza per l’adozione del provvedimento finale. Resta la prescrizione di cinque anni dalla commissione della violazione. Intervento del 9.9.2026

Garante: illecita la diffusione delle conversazioni private di Raoul Bova
Sanzionato Fabrizio Corona, contenuti pubblicati per spettacolarizzazione e gossip

Il Garante per la protezione dei dati personali ha dichiarato illecita la diffusione non autorizzata di un file audio e di contenuti estratti da una conversazione privata intercorsa via chat tra Raoul Bova e un’altra persona, pubblicati da Fabrizio Corona su social network e piattaforme digitali.

Nel provvedimento (n.492 del 3.7.2026 doc. web n. 10287188) adottato - a conclusione di una complessa istruttoria e facendo seguito a precedenti interventi urgenti - l’Autorità ha ribadito che la notorietà di una persona non legittima la divulgazione di dati personali e informazioni attinenti alla sua sfera privata quando tali contenuti non rivestono un effettivo interesse pubblico. La diffusione di stralci di conversazioni intime e affettive eccede infatti il principio di essenzialità dell'informazione e contrasta con i principi di liceità, correttezza e minimizzazione del trattamento dei dati personali stabiliti dalla normativa privacy.

Il Garante, inoltre, ha evidenziato come la condotta sia stata posta in essere con finalità di spettacolarizzazione e alimentazione del gossip, arrecando un significativo pregiudizio alla reputazione, anche lavorativa, e alla privacy dell’attore.

La diffusione, poi, attraverso piattaforme digitali e social media ha ulteriormente aggravato la violazione, amplificandone la portata e gli effetti.

Nonostante la gravità della violazione e la natura particolarmente delicata dei dati diffusi, il Garante ha irrogato a Corona una sanzione amministrativa di 4.950 euro, non risultando redditi fiscalmente dichiarati nell’anno di riferimento. Comunicato del 3.9.2026

L'ATTIVITÀ DEL GARANTE - PER CHI VUOLE SAPERNE DI PIÚ
Gli interventi e i provvedimenti più importanti recentemente adottati dall'Autorità

• Dal Garante privacy stop ai deepfake satirici su Enrico Mentana. Ammonita R.T.I. per alcuni video di Striscia la Notizia - Comunicato del 7.8.2026

• Telemarketing, il Garante privacy sanziona Tim per 9,5 milioni di euro
  Consensi acquisiti illecitamente, inadeguati controlli sulla filiera e ostacoli all'esercizio dei diritti degli utenti - Comunicato del 31.7.2026

NEWSLETTER del Garante per la protezione dei dati personali (Reg. al Trib. di Roma n. 654 del 28 novembre 2002)
Direttore responsabile: Stefano Sabella
Direzione e redazione: Garante per la protezione dei dati personali, Piazza Venezia, n. 11 - 00187 Roma.
Tel: 06.69677.2751 - Fax: 06.69677.3785
Newsletter è consultabile sul sito Internet www.gpdp.it