IVASS - Provvedimento n. 169 del 15 gennaio 2026 , di modifica ed integrazione dei Regolamenti IVASS nn. 40/2018 e41/2018: diritto all’oblio oncologico
Con il citato Provvedimento n. 169/2026, IVASS, (a tutela delle persone guarite da una malattia oncologica riconoscendo loro il diritto di non fornire né subire indagini da parte di imprese di assicurazione e distributori - incluse visite mediche di controllo e accertamenti sanitari - sulla precedente condizione patologica, con diritto che matura decorsi 10 anni della conclusione del trattamento attivo in assenza di recidive, ridotto a 5 anni se la patologia sia insorta prima del compimento di 21 anni; è vietato alle imprese e ai distributori acquisire tali informazioni da fonti terze), dà attuazione al diritto all’oblio oncologico nei contratti assicurativi, stabilendo le modalità operative per far sì che le imprese ed i distributori si conformino al divieto di acquisire e utilizzare informazioni su precedenti patologie oncologiche del contraente o dell’assicurato.
IVASS ha aggiornato la modulistica precontrattuale intervenendo sui Moduli Unici Precontrattuali (MUP) per i prodotti assicurativi e per i prodotti d’investimento assicurativi, nonché sui Documenti Informativi Precontrattuali (DIP) aggiuntivi Vita, Multirischi, IBIP e Danni.
È esclusa dall’obbligo di informativa la sola polizza RCA, per la quale l’anamnesi oncologica non rileva ai fini della valutazione del rischio.
Le imprese di assicurazione e i distributori hanno l’obbligo di adeguamento alle nuove disposizioni entro lo scorso 10 febbraio 2026.
Il Garante per la protezione dei dati personali, con Provvedimento del 24 febbraio 2026 , è intervenuto in via d’urgenza, disponendo nei confronti di un'azienda, la limitazione definitiva del trattamento dei dati raccolti, in modo sistematico, per tutta la durata del rapporto di lavoro e conservati fino a 10 anni dalla sua cessazione, attraverso una piattaforma collegata al sistema di rilevazione delle presenze. A seguito di colloqui con i lavoratori subito dopo il loro rientro da un periodo di assenza venivano annotati sulla piattaforma informazioni relative a specifiche patologie sofferte (sindrome di Crohn, ernia del disco, portatore di pacemaker), alla adesione agli scioperi e alla partecipazione alle attività sindacali (anche con riferimento a utilizzi ritenuti impropri delle assenze), nonché a dati personali di tipo familiare e privato. Tutto ciò in violazione della normativa che vieta al datore di lavoro di trattare dati non rilevanti ai fini della valutazione dell’attitudine professionale del dipendente. Il Garante ha anche imposto, inoltre, di interrompere il trattamento dei dati raccolti attraverso quattro telecamere posizionate in prossimità di bagni e aree ristoro riservati ai lavoratori. Con lo stesso provvedimento, ha infine vietato il trattamento dei dati utilizzati in modo illecito tramite la piattaforma, nel caso sia utilizzata negli altri centri logistici della società in Italia con modalità analoghe a quanto accertato.
Con l’avvio dell’Arbitro Assicurativo istituito presso IVASS, in attuazione dell’art. 187.1 del CAP e del D.M. n. 215/2024, è stato introdotto anche nel settore assicurativo un sistema di risoluzione stragiudiziale delle controversie . Si può presentare ricorso all’AAS solo dopo aver presentato reclamo alla Compagnia e/o all’Intermediario, se non si è ricevuta risposta trascorso il termine di 45 giorni o se si è ricevuta una risposta non soddisfacente. Il reclamo nei confronti della Compagnia e/o dell’Intermediario costituisce un presupposto per l’ammissibilità del ricorso all’Arbitro. Il ricorso è deciso entro 180 giorni (prorogabili una sola volta fino ad ulteriori 90 per le controversie particolarmente complesse) da un Collegio composto da 5 componenti che rappresentano i diversi soggetti coinvolti nella controversia. La decisione dell'AAS sul ricorso non è vincolante ; se, tuttavia, l’Impresa e/o l’Intermediario non la rispettano, la notizia dell'inadempimento è pubblicata su questo sito per un periodo di 5 anni e resta in evidenza per 6 mesi sul sito internet dell’Impresa e/o dell’Intermediario (o affissa nei locali in assenza di un sito internet). Se la decisione dell’AAS è insoddisfacente, sia il cliente che l’Impresa e l’Intermediario possono comunque sempre rivolgersi all'Autorità giudiziaria. Il ricorso all’AAS si configura come condizione di procedibilità per proporre l’azione dinnanzi all’Autorità Giudiziaria , alla stessa stregua di altri strumenti di risoluzione stragiudiziale delle controversie in materia assicurativa (mediazione civile e negoziazione assistita).
Con Provvedimento del 18 dicembre 2025 il Garante ha sanzionato un datore di lavoro che aveva installato sui veicoli aziendali concessi in uso ai dipendenti un sistema di telematica satellitare che registrasse anche i comportamenti alla guida dei propri dipendenti ai fini dell’attribuzione di un punteggio, e ha ordinato la cancellazione dei dati relativi ai viaggi dei lavoratori, raccolti e utilizzati a tali fini. Nel caso specifico, la società, facente parte di un gruppo multinazionale, su disposizione della capogruppo, aveva fatto installare sui propri veicoli aziendali un dispositivo – associato al nominativo del conducente – che raccoglieva, i dati sui viaggi di lavoro e privati (tempi, km, consumi e stile di guida) dei propri dipendenti, assegnando poi un punteggio mensile; i dati così raccolti venivano conservati per un periodo di 13 mesi e utilizzati ai fini delle valutazioni del comportamento alla guida dei dipendenti, nonché per l’adozione di eventuali interventi correttivi. Durante l’esecuzione del controllo, l’Autorità garante ha riscontrato che il dispositivo installato sui veicoli aziendali raccoglieva informazioni molto dettagliate sui viaggi effettuati, tali da costituire un controllo sull’attività dei lavoratori, svolto in assenza delle garanzie previste dallo Statuto dei lavoratori. L’informativa resa ai lavoratori era rivolta a tutte le società affiliate del gruppo, incluse quelle con sede extra-Ue, senza indicare in modo chiaro le finalità, le basi giuridiche né i soggetti qualificabili come titolari, responsabili e destinatari del trattamento dei dati che vi accedevano liberamente senza la relativa autorizzazione ( Fonte: Newsletter n. 542 del 29 gennaio 2026 )
La proposta di legge presentata l’11.11.2025 (nota come ddl Gardini) riguarda le modifiche al Codice Civile e alle disposizioni per la sua attuazione in materia di disciplina delle parti comuni del condominio, nomina ed attribuzioni dell’amministratore e del revisore condominiale e attribuzioni dell’assemblea, nonché istituzione dell’elenco nazionale degli amministratori di condominio e dei revisori contabili condominiali. La proposta di legge: inserisce requisito della laurea, almeno triennale , in materie economiche, giuridiche o scientifiche e tecnologiche, per gli amministratori di condominio , creando un elenco presso il Mimit dove dovranno iscriversi tutti coloro che vogliono esercitare la professione, dimostrando i relativi requisiti; analogamente allo stesso elenco si dovranno iscrivere anche i revisori contabili condominiali , la cui attività di verifica e certificazione dei rendiconti condominiali diventerebbe obbligatoria in presenza di più di venti condomini; per quanto concerne l’incarico di amministratore di condominio , chiarisce la disciplina della durata dell’incarico (il mandato resta annuale, ma è previsto il rinnovo automatico, salvo espressa volontà contraria dell’assemblea convocata per deliberare sul punto); rafforza gli adempimenti contabili relativi al rendiconto annuale , dal momento che tutti i pagamenti dovranno essere fatti sul conto corrente (postale o bancario), eliminando definitivamente il ricorso al contante; precisa che il rendiconto condominiale viene strutturato come un insieme organico di documenti contabili, comprendente: registro di contabilità redatto per criterio di cassa; conto economico dei costi e dei ricavi; conto finanziario riepilogativo; situazione patrimoniale; stato di ripartizione dei costi con evidenza dei conguagli e nota sintetica esplicativa della gestione; stabilisce che l’amministratore di condominio sarà tenuto a richiedere ricorsi per decreti ingiuntivi non entro sei mesi dalla chiusura dell’esercizio contabile ma solo dopo l’approvazione del rendiconto (che può essere fatta entro 180 giorni); prevede che l’amministratore di condominio in caso di condomini morosi (ad esempio, anche per il pagamento dei fornitori), potrà attingere direttamente al conto corrente condominiale e anche rivolgersi ai condomini in regola con i pagamenti ; istituzionalizza la figura del responsabile dei dati personali ; lo stesso dovrà essere nominato da parte dell’assemblea; per quanto concerne i lavori, prevede che la sicurezza delle parti comuni verrà attestata da una società specializzata e l’amministratore potrà ordinare direttamente i lavori di messa a norma se l’assemblea rimane inerte; per la manutenzione straordinaria , il fondo spese andrà costituito subito; per quanto concerne l’assemblea condominiale , ne rafforza il ruolo, chiarendo competenze e limiti decisionali.
Con Provvedimento del 18 dicembre 2025 il Garante per la protezione dei dati personali ha sanzionato una società per violazione della segretezza dell’account e-mail di un amministratore delegato dopo la cessazione del rapporto di lavoro. Secondo il Garante, il contenuto delle e-mail, i dati di contatto delle comunicazioni e gli eventuali allegati, rientrano nella nozione di corrispondenza e sono quindi tutelati dal diritto alla segretezza. Nel caso specifico, il lavoratore cessato aveva chiesto di disabilitare l’account di posta elettronica, di inoltrare i messaggi ricevuti nel frattempo all’indirizzo e-mail personale del lavoratore e di attivare una risposta automatica che informasse eventuali mittenti del nuovo indirizzo e-mail. ( Fonte: Newsletter n. 542 del 29 gennaio 2026 )
Pubblicato in Gazzetta Ufficiale, Serie Generale, n. 6 del 9 gennaio 2026, il Decreto Legislativo 31 dicembre 2025, n. 212, di recepimento della Direttiva (UE) 2023/2225 (c.d. CCD 2), relativa ai contratti di credito ai consumatori (e che abroga la Direttiva 2008/48/CE).
L’EDPB (Comitato europeo per la protezione dei dati) e il GEPD (Garante europeo della protezione dei dati) hanno espresso, in un parere congiunto, una valutazione complessivamente favorevole alla proposta della Commissione europea volta a semplificare l’attuazione della legge sull’intelligenza artificiale attraverso il cosiddetto “Digital Omnibus”. L’obiettivo della proposta è rendere più efficace l’applicazione delle norme armonizzate, riducendo le complessità operative che caratterizzano l’attuale quadro regolatorio. Pur riconoscendo l’utilità di misure di semplificazione amministrativa e l’importanza di sostenere l’innovazione, in particolare a beneficio delle piccole e medie imprese, l’EDPB e il GEPD sottolineano che tali interventi non devono in alcun modo tradursi in un indebolimento delle garanzie poste a tutela dei diritti fondamentali. L’innovazione tecnologica, secondo le due autorità, può e deve procedere di pari passo con il mantenimento di elevati livelli di responsabilità in capo ai fornitori e agli utilizzatori di sistemi di IA. Le autorità evidenziano, in particolare, la necessità di preservare un ruolo centrale delle autorità di protezione dei dati ogniqualvolta il funzionamento dei sistemi di IA comporti il trattamento di dati personali. In tale prospettiva, la cooperazione tra le autorità di protezione dei dati, l’Ufficio per l’IA e le autorità di vigilanza del mercato è ritenuta essenziale per garantire certezza giuridica agli operatori e, al contempo, un’effettiva tutela delle persone interessate. Con riferimento alla proposta di ampliare l’uso di categorie particolari di dati personali – quali i dati relativi all’origine etnica o alla salute – ai fini dell’individuazione e della correzione delle distorsioni nei sistemi di IA, l’EDPB e il GEPD raccomandano un approccio restrittivo. Tali trattamenti dovrebbero essere consentiti esclusivamente in situazioni ben delimitate, in presenza di rischi gravi e concreti di effetti discriminatori o comunque negativi per gli individui. Particolare criticità viene inoltre rilevata rispetto alla proposta di eliminare l’obbligo di registrazione dei sistemi di IA classificati come ad alto rischio, qualora i fornitori ritengano autonomamente che tali sistemi non rientrino in tale categoria. Secondo le due autorità, una simile modifica rischierebbe di compromettere la trasparenza e la responsabilità, incentivando comportamenti elusivi e riducendo il controllo pubblico sui sistemi più impattanti. L’EDPB e il GEPD accolgono invece positivamente l’istituzione di spazi di sperimentazione normativa (regulatory sandboxes) a livello dell’Unione europea, considerandoli uno strumento utile per favorire l’innovazione in un contesto regolato. Tuttavia, affinché tali spazi garantiscano un adeguato livello di certezza del diritto, viene richiesto il coinvolgimento diretto delle autorità competenti in materia di protezione dei dati nella supervisione dei trattamenti effettuati. Inoltre, si auspica il riconoscimento di un ruolo consultivo per l’EDPB e una chiara delimitazione delle competenze dell’Ufficio per l’IA, evitando sovrapposizioni con la funzione di vigilanza indipendente del GEPD sulle istituzioni dell’Unione. Le due autorità sostengono anche l’idea di razionalizzare la cooperazione tra le diverse autorità competenti in materia di diritti fondamentali e vigilanza del mercato, attraverso l’istituzione di punti di contatto centrali. Tale razionalizzazione, tuttavia, non deve pregiudicare l’indipendenza né i poteri delle autorità di protezione dei dati, il cui ruolo deve essere chiaramente definito anche nelle attività di esecuzione e trasmissione delle richieste agli operatori. Infine, l’EDPB e il GEPD ribadiscono l’importanza di mantenere l’obbligo per fornitori e utilizzatori di sistemi di IA di promuovere un adeguato livello di alfabetizzazione in materia di intelligenza artificiale all’interno delle proprie organizzazioni. Esprimono inoltre preoccupazione per il possibile rinvio dell’applicazione delle disposizioni fondamentali relative ai sistemi di IA ad alto rischio, invitando i colegislatori a limitare i ritardi e a valutare il mantenimento del calendario originario, in particolare per gli obblighi di trasparenza, alla luce della rapida evoluzione delle tecnologie di IA.
Il Garante Privacy dà il via libera alle nuove proposte ANAC, rafforzando la riservatezza e la sicurezza dei sistemi di segnalazione. L’aggiornamento interessa sia il settore pubblico che privato, sottolineando come anche i datori di lavoro più piccoli debbano ripensare processi e governance per garantire protezione reale ai whistleblower. Approvazione e finalità delle nuove linee guida Il Garante Privacy ha espresso parere favorevole sulle due proposte di delibera ANAC riguardanti i nuovi schemi di linee guida per le segnalazioni interne ed esterne dei whistleblower. L’obiettivo principale è rendere i sistemi più affidabili, garantendo la riservatezza dei segnalanti, senza stravolgere le regole esistenti, ma aggiornandole in maniera complessiva. Crescente centralità del whistleblowing Dall’analisi delle relazioni annuali ANAC emerge come lo strumento del whistleblowing sia sempre più rilevante. L’anno 2024 ha segnato l’entrata piena in vigore delle nuove regole, con un aumento significativo di segnalazioni e richieste di chiarimenti, soprattutto nel settore pubblico. La preferenza dei segnalanti va ai canali esterni gestiti dall’Autorità, con oltre 1.300 istanze raccolte nell’ultimo anno. Criticità dei canali tradizionali Un’attenzione particolare è stata posta all’uso della posta elettronica ordinaria o certificata come canale di segnalazione. Sebbene molto diffusa, presenta rischi di identificazione del segnalante, soprattutto se si utilizza la casella fornita dal datore di lavoro, poiché i sistemi generano log che possono ricondurre all’identità della persona. Per questo il Garante richiede misure di mitigazione del rischio nella valutazione di impatto sulla protezione dei dati (DPIA) ai sensi dell’art. 35 GDPR. Piattaforme informatiche e cifratura dei dati Tra le soluzioni consigliate per proteggere i dati, il Garante privilegia piattaforme informatiche specialistiche che garantiscano riservatezza mediante cifratura. Tali strumenti riducono il rischio di identificazione e rendono più sicuro il processo di whistleblowing. Esternalizzazione e condivisione dei canali Le nuove linee guida prevedono anche la possibilità di affidare la gestione della piattaforma a fornitori esterni in qualità di responsabili del trattamento (art. 28 GDPR), o di condividere il canale tra più soggetti co-titolari (art. 26 GDPR), purché siano adottate misure tecniche e organizzative che garantiscano visibilità limitata alle sole segnalazioni di competenza di ciascun soggetto. Gruppi societari e chiarezza delle responsabilità Per le società appartenenti a gruppi, il Garante richiede ulteriori chiarimenti per eliminare ambiguità già emerse nelle linee guida precedenti. L’obiettivo è garantire che la gestione centralizzata del canale non comprometta la riservatezza dei segnalanti. Conservazione dei dati Le linee guida stabiliscono tempi certi per la conservazione delle segnalazioni e dei documenti correlati, fissando un limite massimo di cinque anni. Ciò riguarda anche procedimenti disciplinari e trasmissione degli atti alle autorità competenti. Accountability e misure organizzative Il Garante ribadisce che non basta un adeguamento formale alla normativa. Le imprese devono adottare misure tecniche e organizzative proporzionate ai rischi , tra cui soluzioni che impediscano la tracciabilità del segnalante nei canali informatici interni, prevenendo qualsiasi identificazione indiretta tramite dati inferenti. Whistleblowing più sicuro ed efficace L’intervento congiunto di ANAC e Garante mira a creare un sistema più maturo, capace di proteggere realmente chi segnala illeciti. Una maggiore chiarezza normativa e una gestione attenta dei dati rappresentano un passo concreto verso un whistleblowing più sicuro, efficace e rispettoso dei diritti di tutte le persone coinvolte.
La nuova normativa europea sulla sostenibilità non riguarda solo le grandi imprese: coinvolge inevitabilmente anche le PMI che vogliono continuare a far parte delle loro catene di fornitura. Per restare competitive, anche le realtà più piccole devono adeguare processi, controlli e governance, entrando a pieno titolo nel nuovo ecosistema della due diligence. Via libera alla normativa europea sulla due diligence Il percorso di approvazione delle nuove regole europee sulla due diligence compie un passo determinante. Nella seduta del 3 dicembre 2025, la Camera dei Deputati ha approvato il disegno di legge di delegazione europea (S. 1737), autorizzando il recepimento della direttiva sulla sostenibilità aziendale. Il testo passa ora al Senato per l’approvazione definitiva. Il contenuto centrale della delega: la CSDDD Il fulcro della normativa, contenuto nell’articolo 1, riguarda l’attuazione della Direttiva (UE) 2024/1760, la Corporate Sustainability Due Diligence Directive (CSDDD) , pubblicata il 5 luglio 2024 sulla Gazzetta Ufficiale dell’UE. Tale direttiva impone alle grandi aziende un obbligo di diligenza che supera l’ambito interno e include la tutela dei diritti umani e dell’ambiente lungo tutta la catena di fornitura. Si tratta di un tassello coerente con la Direttiva CSRD (2022/2464) sulla rendicontazione di sostenibilità, che crea un quadro integrato in cui la trasparenza informativa si affianca alla responsabilità operativa. Responsabilità estese e interazione con la direttiva “Stop the Clock” Un punto tecnico di particolare importanza per chi si occupa di compliance riguarda il rapporto tra questo disegno di legge e la Direttiva (UE) 794/2025, nota come “Stop the Clock” e adottata nell’aprile 2025 nell’ambito del Pacchetto Omnibus I. Pur con l’obiettivo di ridurre alcuni oneri amministrativi circoscrivendo, in determinate situazioni, l’analisi dei rischi alle sole relazioni commerciali dirette, il testo in fase di recepimento conserva l’impianto originario della CSDDD. La responsabilità delle imprese lungo l’intera filiera È essenziale ribadire che, al di là delle semplificazioni, le grandi imprese continueranno a rispondere per violazioni gravi – come sfruttamento minorile, lavoro forzato o gravi danni ambientali – commesse anche da fornitori o partner indiretti. Ciò implica che le analisi aziendali dovranno estendersi oltre il primo livello della catena del valore: la due diligence smette di essere un adempimento burocratico e diventa un requisito strategico indispensabile per la reputazione e la competitività, contribuendo anche alla tutela delle PMI coinvolte nella filiera. Nuovi standard operativi per le funzioni di Compliance L’applicazione della normativa comporta un’evoluzione profonda nei modelli di governance . Le imprese dovranno integrare l’obbligo di diligenza nelle policy aziendali e nei sistemi di gestione del rischio, introducendo codici di condotta dedicati e strumenti per verificare la conformità. Il processo operativo dovrà includere l’individuazione e la valutazione degli impatti negativi – reali o potenziali – sui diritti umani e sull’ambiente. Sarà quindi necessaria una mappatura accurata per identificare le aree a maggior rischio, come fenomeni di deforestazione o danni agli ecosistemi, e predisporre misure idonee a prevenirli o ridurli. Tra queste rientrano garanzie contrattuali per i partner, piani d’azione misurabili e l’adeguamento delle strategie di approvvigionamento e progettazione. Il ruolo dello stakeholder engagement Un elemento chiave sarà il coinvolgimento strutturato delle parti interessate: diventa obbligatoria la consultazione di sindacati, lavoratori, comunità locali e realtà della società civile . Contestualmente, le imprese dovranno predisporre canali di segnalazione e reclamo trasparenti e accessibili, garantendo protezione contro eventuali ritorsioni per i segnalanti. Il ciclo della due diligence si conclude con attività di monitoraggio e rendicontazione : le aziende dovranno verificare periodicamente l’efficacia delle misure adottate tramite indicatori qualitativi e quantitativi, e rendere pubbliche le azioni intraprese in coerenza con gli standard previsti dalla CSRD. Conseguenze organizzative: verso un cambiamento culturale L’applicazione del nuovo quadro europeo richiede alle imprese uno sforzo organizzativo significativo, che supera il semplice adeguamento formale. Non basta aggiornare la contrattualistica: è necessaria una revisione profonda dei processi interni , con un coordinamento costante tra funzioni legali, procurement, sostenibilità e risorse umane. La principale sfida consisterà nella capacità di raccogliere, gestire e interpretare una grande quantità di dati lungo l’intera filiera. Saranno quindi indispensabili investimenti in tecnologie di monitoraggio e attività di formazione specifica, trasformando la sostenibilità da esercizio di rendicontazione a parametro strategico nelle decisioni aziendali.
La Commissione Europea ha presentato il Digital Omnibus , il pacchetto normativo che promette di rivoluzionare il quadro digitale dell’Unione, il più importante dal GDPR del 2018. La proposta, ufficializzata il 19 novembre 2025, non riguarda solo la protezione dei dati personali, ma include anche l’intelligenza artificiale, i cookie, la sicurezza informatica (NIS2), il Data Act e l’identità digitale europea. L’obiettivo è semplificare le regole , ridurre il carico amministrativo e facilitare l’innovazione, in particolare per le PMI digitali . La Commissione stima una riduzione del 25% dei costi di compliance per tutte le imprese e del 35% per le piccole e medie aziende. Le principali novità Tra le modifiche più significative spicca la ridefinizione del concetto di “dato personale” , che potrebbe escludere molte informazioni pseudonimizzate, come ID utente o cookie, dalla tutela del GDPR. Ciò aprirebbe scenari più flessibili per l’uso dei dati online, ma ridurrebbe alcune garanzie per la privacy individuale. Viene inoltre introdotta una nuova categoria di imprese, le Small-Mid Caps (SMC) , che potrebbero godere di alcune deroghe GDPR, come l’esonero dal registro delle attività di trattamento per i dati “a basso rischio”. Per quanto riguarda l’intelligenza artificiale , la proposta equipara lo sviluppo e l’uso di sistemi IA a un “legittimo interesse” dei titolari del trattamento, semplificando l’uso di dati personali per addestrare algoritmi. Anche i dati sensibili “inferiti” potrebbero essere trattati con regole più leggere rispetto a oggi, pur mantenendo alcuni principi di trasparenza e correttezza. Sul fronte dei cookie e del tracciamento , l’Omnibus introduce modalità di consenso più “machine-readable” e centralizzate, riducendo il fastidio dei continui banner. Tuttavia, il nuovo modello si avvicinerebbe a un opt-out più che a un opt-in, spostando responsabilità sugli utenti. Altre novità riguardano la decisione automatizzata , il “report once” per gli incidenti di sicurezza, e l’integrazione dei dati nell’ EU Digital Identity Wallet , strumento potenzialmente potente ma con rischi significativi se non gestito con adeguate garanzie. Opinioni e riflessioni Le reazioni degli esperti italiani e delle associazioni per la privacy sono contrastanti. Da un lato, operatori e aziende vedono nell’Omnibus una grande occasione per snellire i processi e sfruttare i dati a fini di innovazione, anche nel campo dell’IA. Dall’altro lato, associazioni come Federprivacy, NOYB ed EDRi evidenziano i rischi: la ridefinizione di “dato personale” e le deroghe per le PMI potrebbero indebolire le protezioni fondamentali. Il trattamento di dati inferiti e l’ampliamento delle decisioni automatizzate sollevano dubbi sul bilanciamento tra innovazione e diritti dei cittadini. Secondo molti esperti, la proposta rischia di favorire le Big Tech straniere, in particolare statunitensi, e di ridurre la trasparenza dei sistemi IA ad alto rischio. Al contempo, la semplificazione dei processi di segnalazione e l’allineamento dei regolamenti digitali promettono vantaggi concreti, soprattutto in termini di competitività europea. Il pacchetto entrerà ora nel processo legislativo europeo, dove Parlamento e Consiglio potranno introdurre emendamenti . Il dibattito sarà decisivo per determinare quanto l’Omnibus riuscirà a conciliare efficienza, innovazione e tutela della privacy.
Stop a Clothoff l’app che spoglia le persone. Il Garante per la protezione dei dati personali ha disposto, in via d’urgenza e con effetto immediato, la limitazione provvisoria del trattamento dei dati personali degli utenti italiani nei confronti di una società, con sede nelle Isole Vergini Britanniche, che gestisce l’app Clothoff. Clothoff offre un servizio di AI generativa che rende possibile – gratuitamente e a pagamento – la generazione di immagini di “deep nude”, ovvero foto e video falsi che ritraggono persone reali in pose nude o sessualmente esplicite o, addirittura, pornografiche. L’applicazione consente a chiunque – inclusi i minorenni – di creare fotografie e realizzare video partendo da immagini, anche ritraenti minori, in assenza di qualsiasi accorgimento che permetta di verificare il consenso della persona ritratta e senza apporre alcuna segnalazione circa il carattere artificiale di foto e video. Il blocco del Garante, che comunque ha avviato un’attività di indagine finalizzata a contrastare tutte le app di nudificazione, si è reso necessario a causa degli elevati rischi che tali servizi possono comportare per i diritti e le libertà fondamentali, con particolare riguardo alla tutela della dignità della persona, ai diritti di riservatezza e di protezione dati personali dei soggetti coinvolti in queste tipologie di trattamenti, specie se coinvolgono ragazzi minorenni. Lo confermano i numerosi e recenti fatti di cronaca nazionale italiana, dai quali emerge come l’abuso di immagini in tal modo artefatte stia ormai generando un vero e proprio allarme sociale.
In attuazione della direttiva (UE) 2023/2673 del Parlamento europeo e del Consiglio del 22 novembre 2023 che modifica la direttiva 2011/83/UE relativa ai contratti di servizi finanziari conclusi a distanza e abroga la direttiva 2002/65/CE (Ministro delle imprese e del Made in Italy), è stato approvato il 2 ottobre 2025 un provvedimento che mira a estendere la tutela dei consumatori, aggiornando il Codice del Consumo e precisamente prevendendo: un miglioramento della comunicazione delle informazioni precontrattuali, l’introduzione di una “funzione di recesso” facilmente accessibile per i contratti online, una protezione aggiuntiva contro le interfacce utente ingannevoli, i cosiddetti “dark pattern”. Il DPFP costituisce l’atto propedeutico alla presentazione della manovra finanziaria valida per il triennio 2026-2028 fornendo un aggiornamento del quadro di riferimento internazionale e provvedendo, allo stesso tempo, a una rielaborazione delle previsioni macroeconomiche e di finanza pubblica. L’obiettivo del DPFP è quello di garantire maggiore trasparenza e chiarezza nei contratti finanziari a distanza, fornendo ai consumatori gli strumenti per prendere decisioni informate e per recedere facilmente. Sono stati approvati provvedimenti relativi all’accesso alle informazioni relative al titolare effettivo delle persone giuridiche ed al fine di rafforzare la tutela dei risparmiatori e la stabilità del mercato in caso di risoluzione bancaria, con attenzione alle piccole e medie imprese.
Con il provvedimento n. 364 del 2025 , il Garante per la protezione dei dati personali è tornato a trattare il tema della corretta gestione degli account e-mail aziendali dopo la cessazione del rapporto di lavoro. Il caso esaminato riguarda un ex dipendente che aveva segnalato come la propria casella di posta elettronica aziendale fosse rimasta attiva nonostante le ripetute richieste di disattivazione. Dalle verifiche svolte dal Garante è emerso che il reindirizzamento delle e-mail era rimasto operativo per circa otto mesi dopo la fine del rapporto lavorativo. Durante questo periodo, un altro dipendente aveva acceduto all’account per scaricare documenti fiscali esteri e reimpostare le credenziali di accesso a siti e piattaforme, in assenza di un regolamento interno sull’uso della posta elettronica aziendale. L’azienda ha giustificato la propria condotta spiegando che l’ex dipendente ricopriva un ruolo strategico e che il mantenimento temporaneo dell’account era necessario per continuare a comunicare con alcuni clienti esteri e gestire la relativa documentazione fiscale, evitando la perdita di contatti o rapporti economici importanti. Tuttavia, tali motivazioni non sono state considerate sufficienti dal Garante, che ha rilevato una violazione dei principi fondamentali del trattamento dei dati personali, in particolare: del principio di liceità, della limitazione della conservazione dei dati, della minimizzazione dei dati trattati, e del principio di correttezza, poiché non era stato adottato un disciplinare interno né erano state fornite all’interessato le dovute informazioni sul trattamento dei dati. Il Garante ha sottolineato che questi principi, già richiamati in numerosi altri provvedimenti, non bastano da soli a definire un comportamento corretto nella gestione e disattivazione degli account e-mail. Si tratta infatti di un’operazione apparentemente semplice, ma che spesso comporta violazioni della normativa sulla privacy da parte delle aziende. Riguardo alla regola generale di disattivazione, l’Autorità ha ribadito un orientamento ormai consolidato: gli account e-mail aziendali associati a persone identificate o identificabili (quindi con nome e cognome) devono essere rimossi dopo la fine del rapporto di lavoro, previa disattivazione dell’account e contestuale attivazione di un messaggio automatico che informi i mittenti della cessazione del rapporto e fornisca un indirizzo alternativo collegato all’attività dell’azienda. Inoltre, è necessario prestare particolare attenzione ai sistemi di reindirizzamento automatico delle e-mail, poiché essi comportano la trasmissione di informazioni personali dell’ex dipendente. Pertanto, ogni forma di reindirizzamento deve essere conforme al Regolamento generale sulla protezione dei dati (GDPR) e deve basarsi su un consenso esplicito dell’interessato o su una valida base giuridica per il trattamento. Infine, il Garante precisa che anche il tempo di disattivazione dell’account deve essere ragionevole: deve cioè bilanciare il diritto del dipendente alla riservatezza della propria corrispondenza con gli interessi organizzativi dell’azienda. Di conseguenza, la disattivazione deve avvenire entro tempi tecnici appropriati, che permettano sia la chiusura della casella di posta sia l’attivazione dei sistemi automatici di risposta.
Con le Linee Guida dell’8 settembre 2025 il Tribunale di Siena fornisce dettagliate istruzioni operative ai Curatori relativamente alle fasi delle procedure concorsuali: quali, ad esempio l’accettazione dell'incarico, le modalità di formulazione delle istanze, la redazione dell’inventario, le nomine di professionisti, le relazioni periodiche, l’accertamento del passivo, la liquidazione delle attività, i riparti, la chiusura anche in pendenza di giudizi. In allegato alle Linee Guida sono forniti dal Tribunale dei moduli/modelli di esperimento di vendita (con un breve manuale per il deposito dell’offerta in caso di vendita senza incanto con modalità telematica asincrona) e di richiesta di liquidazione del compenso finale. Il Tribunale, nel fare ciò, premette come coloro che ricoprono l’ufficio di Curatori debbano avere una spiccata competenza professionale e che l’incarico non possa che essere svolto da professionisti che a ciò riservino un significativo spazio nella loro agenda professionale, invitando i Curatori ad espletare i doveri connessi alla funzione non solo con diligenza ma anche con la massima sollecitudine possibile, evitando inutili allungamenti dei tempi delle procedure.
Le Linee Guida del 6 agosto 2025 hanno ad oggetto la valutazione delle aziende in crisi in ottica going concern , in particolare analizzando le cause della crisi, i fattori di rischio del piano di risanamento ed i contesti valutativi. Nella valutazione delle aziende in crisi, basate su metodiche income approach (vale a dire sull’attualizzazione dei flussi di reddito/finanziari), oltre al normale rischio sistematico di business , l’Esperto dovrà apprezzare anche i rischi correlati all’attuazione del piano, quali il rischio del piano inteso come dispersione dei possibili risultati realizzabili e la probabilità di insuccesso del piano. Le Linee Guida segnalano come nelle metodologie income approach, dal momento che non è possibile effettuare previsioni sui flussi all’infinito, il valore viene determinato quale sommatoria di due componenti: il valore attuale dei flussi previsti analiticamente nel periodo di previsione esplicita di piano ed il valore attuale dei flussi correlati alla stima del valore alla fine dell’orizzonte di piano, c.d. “Valore Terminale” o “Terminal Value” (TV). Quest’ultimo (il c.d. TV ) è un valore sintetico “ che incorpora dinamiche di crescita e condizioni che in genere vengono considerate valide per tutto il periodo successivo all’orizzonte di piano ”. Le Linee Guida precisano che si rende necessario un approccio valutativo che sappia adeguatamente considerare le specificità del contesto, adattando i modelli e i principi teorici ai casi pratici; in contesti di crisi “ una corretta e circostanziata individuazione della finalità valutativa assume una rilevanza, se possibile, ancor più cruciale, per effetto dell’impatto che ha sui metodi di valutazione scelti e sulle configurazioni di valore ricercate ”.”
Il Regolamento (UE) 2023/2854, meglio noto come Data Act, entrato in vigore l’11 gennaio 2024 e pienamente applicabile dallo scorso 12 settembre 2025, consegna ai consumatori e alle imprese un potere che in precedenza era solo teorico: l’accesso, diretto e strutturato, ai dati generati dai propri dispositivi IoT, sancendo l’obbligo di informativa, da fornire prima della conclusione del contratto di fornitura del prodotto o del servizio correlato, a proposito dei dati generati durante l’uso e delle modalità di accesso degli stessi, compresi i casi in cui l’utente non possa accedere direttamente ai dati. Dal 12 settembre 2025 è altrettanto operativa la norma sui diritti degli utenti a condividere i dati con i terzi (utili anche per interventi manutentivi). Con ciò viene invertito quanto accadeva fino ad oggi, vale a dire la conservazione e l’utilizzo dei dati degli utenti e delle imprese, generati dai dispositivi IoT, che restavano di appannaggio del produttore di questi ultimi.
Stop a Clothoff l’app che spoglia le persone. Il Garante per la protezione dei dati personali ha disposto, in via d’urgenza e con effetto immediato, la limitazione provvisoria del trattamento dei dati personali degli utenti italiani nei confronti di una società, con sede nelle Isole Vergini Britanniche, che gestisce l’app Clothoff. Clothoff offre un servizio di AI generativa che rende possibile – gratuitamente e a pagamento – la generazione di immagini di “deep nude”, ovvero foto e video falsi che ritraggono persone reali in pose nude o sessualmente esplicite o, addirittura, pornografiche. L’applicazione consente a chiunque – inclusi i minorenni – di creare fotografie e realizzare video partendo da immagini, anche ritraenti minori, in assenza di qualsiasi accorgimento che permetta di verificare il consenso della persona ritratta e senza apporre alcuna segnalazione circa il carattere artificiale di foto e video. Il blocco del Garante, che comunque ha avviato un’attività di indagine finalizzata a contrastare tutte le app di nudificazione, si è reso necessario a causa degli elevati rischi che tali servizi possono comportare per i diritti e le libertà fondamentali, con particolare riguardo alla tutela della dignità della persona, ai diritti di riservatezza e di protezione dati personali dei soggetti coinvolti in queste tipologie di trattamenti, specie se coinvolgono ragazzi minorenni. Lo confermano i numerosi e recenti fatti di cronaca nazionale italiana, dai quali emerge come l’abuso di immagini in tal modo artefatte stia ormai generando un vero e proprio allarme sociale. Roma, 3 ottobre 2025 (Fonte: garanteprivacy.it – comunicato stampa 3 ottobre 2025)
Il Senato ha approvato in via definitiva nella seduta del 17 settembre 2025, il disegno di Legge, recante disposizioni e delega al Governo in materia di intelligenza artificiale, che, sulla base dell’AI Act europeo (Regolamento (UE) 2024/1689), intende introdurre una normativa nazionale in materia, che è pertanto diventato legge. La legge quadro nazionale (Legge n. 132/2025 pubblicata in G.U. il 25.09.2025, in vigore dal 10.10.2025 ) precisa che l’utilizzo di sistemi di intelligenza artificiale non deve pregiudicare la libertà e il pluralismo dei mezzi di comunicazione, la libertà di espressione e l’obiettività, completezza, imparzialità e lealtà dell’informazione, nonché deve garantire il trattamento lecito, corretto e trasparente dei dati personali e la compatibilità con le finalità per le quali sono stati raccolti, in conformità con il diritto dell’Unione Europea in materia di dati personali e di tutela della riservatezza. La Legge quadro indica che le informazioni e le comunicazioni relative al trattamento dei dati connesse all’utilizzo di sistemi di intelligenza artificiale devono essere rese con linguaggio chiaro e semplice, in modo da garantire all’utente la conoscibilità dei relativi rischi e il diritto di opporsi ai trattamenti autorizzati dei propri dati personali e regola il caso di utilizzo dei sistemi di intelligenza artificiale da parte dei minori (con distinzione tra minori di età inferiore ad anni 14 ovvero di età uguale o superiore ad anni 14). La Legge quadro regolamenta anche l’adozione dell’AI in alcuni ambiti strategici (tra cui la sanità e la giustizia , nonché in ambito lavorativo) nonché prevede una specifica disciplina per le professioni intellettuali e in ambito di diritto d’autore. La Legge quadro, infine: reca i princìpi in materia di sviluppo economico , prevedendo doveri in capo allo Stato e le Autorità pubbliche ; detta disposizioni per l'impiego dell'intelligenza artificiale nel settore pubblico ; delinea (artt. 19 e 20) la governance italiana e le azioni di promozione dell’AI tra le quali: prevede l’introduzione “ Strategia nazionale per l’intelligenza artificiale ”, da aggiornare con cadenza biennale dal Dipartimento per la trasformazione digitale della Presidenza del Consiglio dei ministri, che dovrà definire le azioni strategiche per promuovere e sostenere lo sviluppo dell’AI; istituisce il Comitato di coordinamento delle attività di indirizzo su enti, organismi e fondazioni che operano nel campo dell’innovazione digitale e dell’intelligenza artificiale, presieduto dal Presidente del Consiglio dei ministri o dall’Autorità politica delegata e composto dal Ministro dell’economia e delle finanze, dal Ministro delle imprese e del made in Italy, dal Ministro dell’università e della ricerca, dal Ministro della salute, dal Ministro per la pubblica amministrazione, dall’Autorità delegata per la sicurezza della Repubblica e per la cybersicurezza e dall’Autorità politica delegata in materia di innovazione tecnologica e transizione digitale o da loro delegati; identifica le seguenti autorità nazionali: l' Agenzia per l'Italia Digitale – “AgID” -, che sarà responsabile di promuovere l’innovazione e lo sviluppo dell’intelligenza artificiale, di definire le procedure ed esercitare le funzioni e i compiti in materia di notifica, valutazione, accreditamento e monitoraggio dei soggetti incaricati di verificare la conformità dei sistemi di intelligenza artificiale, nonché l' Agenzia per la Cybersicurezza Nazionale – “ ACN ” -, che sarà responsabile per la vigilanza, incluse le attività ispettive e sanzionatone, dei sistemi di intelligenza artificiale, e per la promozione e lo sviluppo dell’intelligenza artificiale relativamente ai profili di cybersicurezza).; delinea misure a sostegno di imprese, della ricerca e dello sport ( v. artt. 21, 22 e 23); apporta una serie di modifiche al Codice Penale per rispondere alle peculiarità degli illeciti compiuti mediante l’utilizzo dell’intelligenza artificiale (v. art. 26).
Il Tribunale di Bologna in data 12 marzo 2025 ha aggiornato le Linee Guida per gli Organismi di Composizione della Crisi da Sovraindebitamento, Commissari nelle procedure di sovraindebitamento e Liquidatori nelle Liquidazioni controllate ed ha dettato indicazioni riguardanti i compensi degli OCC e degli advisors nelle procedure di composizione della crisi da sovraindebitamento e di Liquidazione controllate, facendo seguito e formalizzando riunioni di Sezione ed interlocuzione con gli OCC, cui sono state previamente sottoposte.
Richiesta di interpretazione dell’art. 6 del d.lgs. 192/2005 in materia di Attestato di Prestazione Energetica relativamente a immobili concessi in locazione
Il Garante per la protezione dei dati personali ha applicato una sanzione di 50mila euro ad un’azienda del settore automotive per aver gestito in modo scorretto le informazioni dei propri dipendenti, incluse quelle sulla salute. Il provvedimento è scattato a seguito di una segnalazione sindacale, che ha evidenziato una pratica diffusa all’interno dell’azienda: dopo assenze per malattia, infortunio o ricovero, i lavoratori venivano sottoposti a un colloquio accompagnato da un questionario. Il documento, compilato da un diretto responsabile, veniva poi trasmesso all’Ufficio Risorse Umane che con il responsabile e/o con il medico competente valutava, in base a quanto rappresentato dall’azienda, eventuali iniziative a tutela della salute dei lavoratori, ad esempio modificando la postazione di lavoro o intervenendo sulle relazioni lavorative. Nel corso dell’istruttoria il Garante ha però riscontrato numerose violazioni del Regolamento UE (GDPR), tra cui l’assenza di un’informativa chiara e trasparente ai dipendenti e la mancanza di una base giuridica per il trattamento dei dati, anche relativi alla salute. L’Autorità ha inoltre ravvisato una conservazione di dati dei lavoratori non pertinenti (nel caso di assenze dal lavoro) e sproporzionati (fino a dieci anni), e un trattamento di dati non rilevante per valutare le capacità professionali del personale. Il Garante ha dunque ordinato all’azienda il divieto del trattamento dei dati e la cancellazione di quelli già raccolti e conservati. Nel comminare la sanzione l’Autorità ha tenuto conto della gravità e della durata delle violazioni, del fatto che il trattamento abbia riguardato anche dati sulla salute, del numero di dipendenti coinvolti (circa 890) e del fatturato dell’azienda. (Fonte: Newsletter Garante)
