Il Garante con il provvedimento n. 462 del 18 giugno 2026 ha sanzionato una società (6.600 euro) per aver aperto, il giorno prima dell'appuntamento concordato, l'armadietto personale di un ex lavoratore somministrato — chiuso con lucchetto nella sua esclusiva disponibilità — rimuovendone e distruggendone il contenuto senza informarlo né prima né dopo. L'Autorità ha respinto la tesi difensiva secondo cui non vi sarebbe stato alcun "trattamento di dati personali" rilevante ai sensi del GDPR: gli oggetti custoditi in un armadietto (compresi effetti intimi/personali) sono idonei a rivelare informazioni sulla persona, e operazioni come ricognizione, videoregistrazione a fini di tutela aziendale e distruzione rientrano pienamente nella nozione di "trattamento", anche se svolte manualmente. Accertate le violazioni dei principi di liceità, correttezza e minimizzazione (assenza di base giuridica idonea e di un valido bilanciamento del legittimo interesse) e dell'obbligo di informativa (art. 13 GDPR), oltre alla mancata risposta alle richieste istruttorie dell'Autorità (art. 157 Codice Privacy). Un precedente di interesse pratico per tutte le aziende con spogliatoi/armadietti aziendali: serve una policy scritta su uso e modalità di svuotamento a fine rapporto, comunicata preventivamente ai lavoratori.
Il Garante con il provvedimento n. 382 del 28 maggio 2026 ha sanzionato un'azienda sanitaria ligure (6.000 euro) per il sistema di geolocalizzazione installato sui veicoli assegnati ai dipendenti, i cui dati erano stati poi utilizzati anche in un procedimento disciplinare a carico di un autista.
Pur in presenza di un accordo sindacale ex art. 4 Stat. Lav. e di un'adeguata informativa ai lavoratori, il trattamento è stato ritenuto sproporzionato per l'eccessiva frequenza di rilevazione della posizione (ogni 60 secondi, poi portata a 15 minuti solo dopo l'istruttoria) e per la possibilità di monitoraggio in tempo reale, elementi che configuravano una sorveglianza sostanzialmente continua dei dipendenti in violazione del principio di minimizzazione (art. 5 GDPR).
Il Garante ha inoltre censurato la mancata valutazione d'impatto preventiva (art. 35 GDPR) e ribadito un principio di rilievo pratico: anche quando la raccolta dei dati è avvenuta con accordo sindacale, il loro successivo utilizzo a fini disciplinari resta autonomamente soggetto ai limiti del GDPR — se il trattamento originario non è proporzionato, i dati non sono utilizzabili "a tutti i fini connessi al rapporto di lavoro" come consentirebbe l'art. 4, co. 3, Stat. Lav.
Apprezzate come attenuanti la piena collaborazione dell'Azienda e le correzioni adottate in corso di istruttoria.
Per diritto al c.d. oblio oncologico nei servizi bancari si intende il diritto delle persone che sono guarite da patologie oncologiche a non essere discriminate nell’ambito della stipula o del rinnovo dei contratti relativi a servizi bancari, finanziari, di investimento e assicurativi.
La normativa Europea ( Direttiva (U.E.) 2023/2225 (c.d. CCD2) , recepita in Italia con il D.Lgs. n. 212/2025), si pone l’obiettivo di rafforzare la tutela dei consumatori nel credito al consumo, imponendo la trasparenza nella valutazione del merito creditizio ed esigendo che i prestiti siano "sostenibili", con specifico riguardo alle pratiche assicurative abbinate ai finanziamenti.
La direttiva c.d. CCD2 impone che l'eventuale polizza assicurativa richiesta dalla banca per l'erogazione di un prestito possa essere sottoscritta anche tramite un fornitore diverso e più conveniente scelto dal consumatore, prevenendo pratiche commerciali scorrette, tutelando i consumatori anche nella valutazione creditizia automatizzata, permettendo in qualsiasi momento di richiedere l'intervento umano per contestare decisioni basate su algoritmi o su dati sanitari non più trattabili.
La suddetta Direttiva vieta l'applicazione di costi o tassi d'interesse eccessivi e ingiustificati, lavorando in parallelo con il diritto al s.d. oblio oncologico, al fine di valutare il cliente sulla base della sua attuale solvibilità, senza poter richiedere indagini o informazioni sullo storico clinico oncologico oltre i limiti previsti dalla legge.
Il D.Lgs. 212 del 31.12.2025 (in vigore dal 12.01.2026) è il decreto di recepimento della Direttiva c.d. CCD2, inserendosi nel quadro delineato dalla Legge n. 193/2023, coordinando le tutele di non discriminazione per gli ex pazienti con le nuove regole per prestiti e finanziamenti.
Il Decreto incide direttamente sul Testo Unico Bancario (T.U.B.), aggiornando le regole per la concessione del credito al consumo, assicurando che la richiesta di prestiti e mutui avvenga senza alcuna disparità di trattamento o discriminazione basata sulla storia clinica del consumatore. Relativamente al c.d. oblio oncologico, la Banca d’Italia dovrà emanare disposizioni attuative - predisponendo se del caso anche formulari/modelli standard - relativamente ai divieti informativi nelle fasi di stipulazione e rinnovo dei contratti nonché agli obblighi informativi da parte dell’intermediario in tutte le fasi di accesso a servizi bancari, ivi compresi le trattative precontrattuali e la stipulazione o il rinnovo di contratti.
La violazione di tali divieti e obblighi comporta, infatti, la nullità parziale , come previsto dalle Legge n. 193/2023, vale a dire la nullità delle clausole contrattuali difformi e delle clausole “connesse” a quelle difformi.”
La supervisione nel rispetto della normativa è demandato alla Consob nonché al Garante Privacy che opererà in coordinamento con le due Autorità di Vigilanza (Banca d’Italia e Consob), al fine di esercitare un controllo generale sul trattamento dei dati sensibili e di ordinare e/o sorvegliare la cancellazione delle informazioni.
Il Garante per la protezione dei dati personali torna a pronunciarsi sul fenomeno dello "sharenting", ribadendo un principio ormai consolidato: pubblicare immagini di minori sui social network richiede il consenso di entrambi i genitori, indipendentemente dal numero di scatti o dal loro contenuto. Con il provvedimento n. 314 del 29 aprile 2026 (doc. web n. 10251841), l'Autorità Garante ha accolto il reclamo di un padre contro l'ex compagna, che aveva pubblicato su Facebook foto dei figli minori di 14 anni senza il suo assenso. Il caso La madre si era difesa sostenendo che si trattava di poche immagini di vita familiare ordinaria, condivise con finalità puramente affettive verso una cerchia ristretta di contatti, e si era detta disponibile a restringere ulteriormente la visibilità del profilo. Argomentazioni che il Garante ha respinto integralmente. I principi affermati dal Garante Il consenso di un solo genitore non basta. La pubblicazione di immagini di minori sui social network eccede l'ordinaria amministrazione e richiede il consenso di entrambi gli esercenti la responsabilità genitoriale, anche in regime di affido condiviso. Le impostazioni privacy non sono una garanzia. Un profilo "chiuso" può essere riaperto in qualsiasi momento dal titolare, e i contenuti possono comunque essere salvati o ricondivisi da terzi: la presunta riservatezza del profilo non esclude quindi il rischio di diffusione incontrollata. Il numero o la "neutralità" delle foto sono irrilevanti. Né la quantità limitata degli scatti né l'assenza di contenuti compromettenti sanano la mancanza di un'idonea base giuridica per il trattamento. Non serve provare un danno concreto. Ai fini dell'intervento correttivo dell'Autorità è sufficiente la violazione del principio di liceità, senza necessità di dimostrare un pregiudizio già verificatosi. Le misure adottate Il Garante ha dichiarato illecito il trattamento per violazione degli artt. 5, 6 e 8 del GDPR e dell'art. 2-quinquies del Codice Privacy, disponendo: il divieto di ulteriore pubblicazione delle immagini dei minori senza il consenso di entrambi i genitori; l' ammonimento della titolare del trattamento; l' annotazione del provvedimento nel registro interno dell'Autorità.
L’Autorità Garante ha irrogato sanzioni pecuniarie nei confronti di PostePay S.p.A. e Poste Italiane, rispettivamente nella misura di € 5.877.000,00 e di € 6.624.000,00, per aver compiuto negli anni trattamenti illeciti dei dati personali di milioni di utenti, a causa dell’applicativo “ ThreatMetrix ” nelle app BancoPosta e PostePay (versione Android), utilizzato per finalità antifrode attraverso la raccolta di dati relativi alle applicazioni installate o in esecuzione sui dispositivi degli utenti. Gli accertamenti hanno, infatti, rivelato che la libreria software in questione raccoglieva di c.d. “ dati di utilizzo ”, ossia gli hash MD5 delle app in esecuzione per creare un profilo di rischio, che però, come ricordato dal Garante Privacy, sono dati aventi natura personale, in quanto idonei a distinguere l’interessato e a rivelarne abitudini o categorie particolari (es. app mediche, religiose o politiche). Il tutto trattando i dati in violazione dei principi di minimizzazione del trattamento ex art. 5 del Regolamento GDPR, in assenza di una adeguata base giuridica e di una data retention e configurando il consenso alla raccolta degli utenti come obbligatorio, poiché, in caso contrario, questi avrebbero potuto effettuare un numero massimo di tre accessi all’applicativo, oltre i quali l’uso ne sarebbe stato inibito.
Uno strumento essenziale di tutela della persona nell'ambiente digitale: come esercitarlo efficacemente e quali sono i limiti previsti dalla normativa europea e italiana
Diritto di accesso del lavoratore alla casella e-mail aziendale individuale, tempi di conservazione dei messaggi di posta elettronica e dei log di navigazione internet, utilizzo di strumenti suscettibili di controllo a distanza dei dipendenti. Sono questi i principali profili affrontati dal provvedimento n. 165/2026 del Garante per la protezione dei dati personali, con cui l’Autorità è intervenuta per precisare i confini del potere datoriale nella gestione degli strumenti digitali aziendali. Il quadro delineato dal Garante conferma come la governance dei sistemi informatici interni richieda oggi particolare attenzione, sia sotto il profilo organizzativo sia sotto quello sanzionatorio. Il caso esaminato La vicenda nasce dal reclamo presentato da un ex dipendente che, dopo la cessazione del rapporto di lavoro, aveva chiesto di accedere ai dati contenuti nella propria casella e-mail aziendale nominativa. In una prima fase, la società aveva consentito un accesso limitato alle sole comunicazioni ritenute “personali”, escludendo quelle considerate attinenti all’attività lavorativa. Solo successivamente aveva consegnato ulteriore corrispondenza, previa selezione dei contenuti e anonimizzazione di parte dei dati. Diritto di accesso: no a filtri preventivi e oscuramenti immotivati Secondo il Garante, la condotta aziendale si pone in contrasto con la disciplina in materia di protezione dei dati personali. L’Autorità ha ritenuto illegittima l’analisi preventiva del contenuto delle e-mail effettuata dalla società per distinguere i messaggi personali da quelli professionali, osservando che il presupposto da cui muoveva il datore di lavoro era errato: il fatto che la corrispondenza transiti su uno strumento aziendale non comporta che essa sia nella piena disponibilità esclusiva dell’impresa. Richiamando le definizioni contenute nell’art. 4, nn. 1 e 2, del GDPR, il Garante ha ricordato che rientrano nel concetto di dato personale anche le informazioni relative all’attività lavorativa riferibili a una persona identificata o identificabile. Ne consegue che le comunicazioni presenti su un account e-mail individualizzato costituiscono dati personali del soggetto assegnatario. Sulla stessa linea, è stata giudicata illecita anche l’attività di oscuramento e anonimizzazione dei contenuti, invocata dalla società per esigenze di tutela del segreto aziendale e dei diritti di terzi. Il provvedimento evidenzia che il diritto di accesso può subire limitazioni solo nei casi espressamente previsti dal GDPR, tra cui le richieste manifestamente infondate o eccessive (art. 12, par. 5) oppure la necessità di salvaguardare diritti e libertà altrui (art. 15, par. 4), categoria nella quale possono rientrare anche segreti commerciali e proprietà intellettuale. Nel caso concreto, tuttavia, il Garante ha rilevato l’assenza di elementi idonei a dimostrare un pregiudizio effettivo e specifico derivante dall’accesso richiesto dal lavoratore. Anche per questo motivo è stata accertata la violazione degli artt. 12 e 15 del GDPR. Conservazione delle e-mail: cinque anni di backup non giustificati Dall’istruttoria è inoltre emerso che la società, operante nel settore assicurativo, conservava in modo sistematico le e-mail contenute negli account aziendali individualizzati mediante backup offline con durata quinquennale. La finalità dichiarata era la tutela del patrimonio informativo aziendale, anche in relazione agli obblighi di vigilanza gravanti sull’impresa. Il Garante ha però rilevato, anzitutto, che tale trattamento non risultava adeguatamente descritto nella documentazione informativa resa ai dipendenti, in violazione dei principi di correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR, nonché degli obblighi informativi previsti dall’art. 13. Nel merito, l’Autorità ha ricordato che gli account di posta elettronica individualizzati possono contenere anche informazioni personali estranee alla sfera lavorativa, riferite sia al dipendente sia a terzi. Per questo motivo i sistemi di posta elettronica non possono essere trasformati impropriamente in strumenti di archiviazione generale del patrimonio informativo aziendale. Per finalità documentali, secondo il Garante, occorre invece adottare sistemi dedicati di gestione documentale, strutturati con misure tecniche e organizzative meno invasive. La conservazione prolungata dei messaggi, priva di adeguate garanzie, è stata quindi ritenuta contraria ai principi di limitazione della finalità, minimizzazione e limitazione della conservazione di cui all’art. 5, par. 1, lett. b), c) ed e), GDPR. Log di navigazione internet: dodici mesi ritenuti eccessivi Il provvedimento richiama inoltre gli orientamenti già espressi dal Garante con il provvedimento n. 613/2026 in materia di conservazione dei file log destinati alla sicurezza informatica. Nel caso esaminato, la società conservava i log di navigazione per dodici mesi, indicando finalità legate al corretto funzionamento dell’infrastruttura IT, alla prevenzione di abusi informatici e alla tutela del patrimonio aziendale. Anche in questo caso il termine è stato ritenuto non congruo rispetto alle finalità dichiarate e, pertanto, incompatibile con i principi di proporzionalità, minimizzazione e limitazione della conservazione previsti dall’art. 5 GDPR. Controlli a distanza e art. 4 dello Statuto dei lavoratori Un ulteriore passaggio centrale del provvedimento riguarda il rapporto tra privacy e controlli a distanza. Il Garante ha osservato che sia il backup della posta elettronica sia la conservazione dei log di navigazione costituiscono strumenti astrattamente idonei a consentire un controllo dell’attività lavorativa dei dipendenti. Per tale ragione, tali sistemi rientrano nell’ambito applicativo dell’art. 4 della Legge n. 300/1970, che richiede, ove ne ricorrano i presupposti, il previo accordo sindacale oppure l’autorizzazione dell’Ispettorato Nazionale del Lavoro. Nel caso concreto, la società non aveva verificato la sussistenza delle esigenze indicate dalla norma — organizzative e produttive, sicurezza del lavoro o tutela del patrimonio aziendale — né aveva attivato la procedura di garanzia prevista. Da qui il rilievo della violazione dell’art. 88 GDPR, dell’art. 114 del Codice Privacy e dei principi di liceità del trattamento. La sanzione Alla luce delle violazioni accertate, il Garante ha irrogato una sanzione amministrativa di 50.000 euro . Contestualmente, ha ordinato alla società di consentire l’accesso integrale del dipendente alla casella e-mail e di adeguare le proprie procedure interne relative alla gestione della posta elettronica e dei dati connessi alla navigazione web. Le indicazioni per le imprese Il provvedimento n. 165/2026 conferma che la gestione degli strumenti digitali aziendali richiede un approccio integrato tra diritto del lavoro, privacy e organizzazione interna. Per i datori di lavoro ciò significa: garantire il diritto di accesso ai dati senza filtri arbitrari; fornire informative complete e aggiornate; evitare utilizzi impropri della posta elettronica come archivio documentale; limitare i tempi di conservazione di e-mail e log ai soli periodi realmente necessari; verificare sempre l’eventuale applicazione dell’art. 4 dello Statuto dei lavoratori. L’adeguamento delle policy IT non rappresenta più una scelta prudenziale, ma una necessità operativa per ridurre il rischio di contenziosi e sanzioni.
Il lavoratore può accedere ai messaggi del proprio account email aziendale e ai documenti presenti nel pc dopo la fine del rapporto di lavoro. Eventuali limitazioni devono essere motivate da specifiche e comprovate ragioni, come la tutela di segreti aziendali. È quanto ha affermato il Garante per la protezione dei dati personali accogliendo il reclamo di un ex dipendente di una compagnia assicurativa, che aveva chiesto copia dei messaggi della propria casella di posta elettronica aziendale e dei documenti salvati nel pc. La società aveva effettuato un accesso alla posta elettronica dell’ex dipendente e, dopo averne esaminato il contenuto, aveva fornito esclusivamente i messaggi ritenuti “strettamente personali”, escludendo quelli legati all’attività lavorativa. Secondo il Garante, il diritto di accesso riguarda tutti i dati personali, comprese le comunicazioni intercorse tramite un account aziendale individualizzato. Non è quindi legittimo selezionare preventivamente i contenuti da fornire né limitarli o oscurarli sulla base della distinzione tra ambito personale e professionale. L’Autorità ha inoltre rilevato criticità nella gestione dei dati, in particolare per la mancanza di trasparenza nelle informative e per i tempi di conservazione delle e-mail (5 anni) e dei dati di navigazione (12 mesi), ritenuti non proporzionati rispetto alle finalità dichiarate. Per le violazioni accertate è stata inflitta una sanzione di 50mila euro. Il Garante ha inoltre ordinato di consentire l’accesso integrale ai dati richiesti e di adeguare informative e policy interne alla normativa privacy. (Fonte: Newsletter Garante del 15 aprile 2026)
Il Garante per la protezione dei dati personali, con Provvedimento del 24 febbraio 2026 , è intervenuto in via d’urgenza, disponendo nei confronti di un'azienda, la limitazione definitiva del trattamento dei dati raccolti, in modo sistematico, per tutta la durata del rapporto di lavoro e conservati fino a 10 anni dalla sua cessazione, attraverso una piattaforma collegata al sistema di rilevazione delle presenze. A seguito di colloqui con i lavoratori subito dopo il loro rientro da un periodo di assenza venivano annotati sulla piattaforma informazioni relative a specifiche patologie sofferte (sindrome di Crohn, ernia del disco, portatore di pacemaker), alla adesione agli scioperi e alla partecipazione alle attività sindacali (anche con riferimento a utilizzi ritenuti impropri delle assenze), nonché a dati personali di tipo familiare e privato. Tutto ciò in violazione della normativa che vieta al datore di lavoro di trattare dati non rilevanti ai fini della valutazione dell’attitudine professionale del dipendente. Il Garante ha anche imposto, inoltre, di interrompere il trattamento dei dati raccolti attraverso quattro telecamere posizionate in prossimità di bagni e aree ristoro riservati ai lavoratori. Con lo stesso provvedimento, ha infine vietato il trattamento dei dati utilizzati in modo illecito tramite la piattaforma, nel caso sia utilizzata negli altri centri logistici della società in Italia con modalità analoghe a quanto accertato.
Con Provvedimento del 18 dicembre 2025 il Garante per la protezione dei dati personali ha sanzionato una società per violazione della segretezza dell’account e-mail di un amministratore delegato dopo la cessazione del rapporto di lavoro. Secondo il Garante, il contenuto delle e-mail, i dati di contatto delle comunicazioni e gli eventuali allegati, rientrano nella nozione di corrispondenza e sono quindi tutelati dal diritto alla segretezza. Nel caso specifico, il lavoratore cessato aveva chiesto di disabilitare l’account di posta elettronica, di inoltrare i messaggi ricevuti nel frattempo all’indirizzo e-mail personale del lavoratore e di attivare una risposta automatica che informasse eventuali mittenti del nuovo indirizzo e-mail. ( Fonte: Newsletter n. 542 del 29 gennaio 2026 )
Con Provvedimento del 18 dicembre 2025 il Garante ha sanzionato un datore di lavoro che aveva installato sui veicoli aziendali concessi in uso ai dipendenti un sistema di telematica satellitare che registrasse anche i comportamenti alla guida dei propri dipendenti ai fini dell’attribuzione di un punteggio, e ha ordinato la cancellazione dei dati relativi ai viaggi dei lavoratori, raccolti e utilizzati a tali fini. Nel caso specifico, la società, facente parte di un gruppo multinazionale, su disposizione della capogruppo, aveva fatto installare sui propri veicoli aziendali un dispositivo – associato al nominativo del conducente – che raccoglieva, i dati sui viaggi di lavoro e privati (tempi, km, consumi e stile di guida) dei propri dipendenti, assegnando poi un punteggio mensile; i dati così raccolti venivano conservati per un periodo di 13 mesi e utilizzati ai fini delle valutazioni del comportamento alla guida dei dipendenti, nonché per l’adozione di eventuali interventi correttivi. Durante l’esecuzione del controllo, l’Autorità garante ha riscontrato che il dispositivo installato sui veicoli aziendali raccoglieva informazioni molto dettagliate sui viaggi effettuati, tali da costituire un controllo sull’attività dei lavoratori, svolto in assenza delle garanzie previste dallo Statuto dei lavoratori. L’informativa resa ai lavoratori era rivolta a tutte le società affiliate del gruppo, incluse quelle con sede extra-Ue, senza indicare in modo chiaro le finalità, le basi giuridiche né i soggetti qualificabili come titolari, responsabili e destinatari del trattamento dei dati che vi accedevano liberamente senza la relativa autorizzazione ( Fonte: Newsletter n. 542 del 29 gennaio 2026 )
L’EDPB (Comitato europeo per la protezione dei dati) e il GEPD (Garante europeo della protezione dei dati) hanno espresso, in un parere congiunto, una valutazione complessivamente favorevole alla proposta della Commissione europea volta a semplificare l’attuazione della legge sull’intelligenza artificiale attraverso il cosiddetto “Digital Omnibus”. L’obiettivo della proposta è rendere più efficace l’applicazione delle norme armonizzate, riducendo le complessità operative che caratterizzano l’attuale quadro regolatorio. Pur riconoscendo l’utilità di misure di semplificazione amministrativa e l’importanza di sostenere l’innovazione, in particolare a beneficio delle piccole e medie imprese, l’EDPB e il GEPD sottolineano che tali interventi non devono in alcun modo tradursi in un indebolimento delle garanzie poste a tutela dei diritti fondamentali. L’innovazione tecnologica, secondo le due autorità, può e deve procedere di pari passo con il mantenimento di elevati livelli di responsabilità in capo ai fornitori e agli utilizzatori di sistemi di IA. Le autorità evidenziano, in particolare, la necessità di preservare un ruolo centrale delle autorità di protezione dei dati ogniqualvolta il funzionamento dei sistemi di IA comporti il trattamento di dati personali. In tale prospettiva, la cooperazione tra le autorità di protezione dei dati, l’Ufficio per l’IA e le autorità di vigilanza del mercato è ritenuta essenziale per garantire certezza giuridica agli operatori e, al contempo, un’effettiva tutela delle persone interessate. Con riferimento alla proposta di ampliare l’uso di categorie particolari di dati personali – quali i dati relativi all’origine etnica o alla salute – ai fini dell’individuazione e della correzione delle distorsioni nei sistemi di IA, l’EDPB e il GEPD raccomandano un approccio restrittivo. Tali trattamenti dovrebbero essere consentiti esclusivamente in situazioni ben delimitate, in presenza di rischi gravi e concreti di effetti discriminatori o comunque negativi per gli individui. Particolare criticità viene inoltre rilevata rispetto alla proposta di eliminare l’obbligo di registrazione dei sistemi di IA classificati come ad alto rischio, qualora i fornitori ritengano autonomamente che tali sistemi non rientrino in tale categoria. Secondo le due autorità, una simile modifica rischierebbe di compromettere la trasparenza e la responsabilità, incentivando comportamenti elusivi e riducendo il controllo pubblico sui sistemi più impattanti. L’EDPB e il GEPD accolgono invece positivamente l’istituzione di spazi di sperimentazione normativa (regulatory sandboxes) a livello dell’Unione europea, considerandoli uno strumento utile per favorire l’innovazione in un contesto regolato. Tuttavia, affinché tali spazi garantiscano un adeguato livello di certezza del diritto, viene richiesto il coinvolgimento diretto delle autorità competenti in materia di protezione dei dati nella supervisione dei trattamenti effettuati. Inoltre, si auspica il riconoscimento di un ruolo consultivo per l’EDPB e una chiara delimitazione delle competenze dell’Ufficio per l’IA, evitando sovrapposizioni con la funzione di vigilanza indipendente del GEPD sulle istituzioni dell’Unione. Le due autorità sostengono anche l’idea di razionalizzare la cooperazione tra le diverse autorità competenti in materia di diritti fondamentali e vigilanza del mercato, attraverso l’istituzione di punti di contatto centrali. Tale razionalizzazione, tuttavia, non deve pregiudicare l’indipendenza né i poteri delle autorità di protezione dei dati, il cui ruolo deve essere chiaramente definito anche nelle attività di esecuzione e trasmissione delle richieste agli operatori. Infine, l’EDPB e il GEPD ribadiscono l’importanza di mantenere l’obbligo per fornitori e utilizzatori di sistemi di IA di promuovere un adeguato livello di alfabetizzazione in materia di intelligenza artificiale all’interno delle proprie organizzazioni. Esprimono inoltre preoccupazione per il possibile rinvio dell’applicazione delle disposizioni fondamentali relative ai sistemi di IA ad alto rischio, invitando i colegislatori a limitare i ritardi e a valutare il mantenimento del calendario originario, in particolare per gli obblighi di trasparenza, alla luce della rapida evoluzione delle tecnologie di IA.
Il Garante Privacy dà il via libera alle nuove proposte ANAC, rafforzando la riservatezza e la sicurezza dei sistemi di segnalazione. L’aggiornamento interessa sia il settore pubblico che privato, sottolineando come anche i datori di lavoro più piccoli debbano ripensare processi e governance per garantire protezione reale ai whistleblower. Approvazione e finalità delle nuove linee guida Il Garante Privacy ha espresso parere favorevole sulle due proposte di delibera ANAC riguardanti i nuovi schemi di linee guida per le segnalazioni interne ed esterne dei whistleblower. L’obiettivo principale è rendere i sistemi più affidabili, garantendo la riservatezza dei segnalanti, senza stravolgere le regole esistenti, ma aggiornandole in maniera complessiva. Crescente centralità del whistleblowing Dall’analisi delle relazioni annuali ANAC emerge come lo strumento del whistleblowing sia sempre più rilevante. L’anno 2024 ha segnato l’entrata piena in vigore delle nuove regole, con un aumento significativo di segnalazioni e richieste di chiarimenti, soprattutto nel settore pubblico. La preferenza dei segnalanti va ai canali esterni gestiti dall’Autorità, con oltre 1.300 istanze raccolte nell’ultimo anno. Criticità dei canali tradizionali Un’attenzione particolare è stata posta all’uso della posta elettronica ordinaria o certificata come canale di segnalazione. Sebbene molto diffusa, presenta rischi di identificazione del segnalante, soprattutto se si utilizza la casella fornita dal datore di lavoro, poiché i sistemi generano log che possono ricondurre all’identità della persona. Per questo il Garante richiede misure di mitigazione del rischio nella valutazione di impatto sulla protezione dei dati (DPIA) ai sensi dell’art. 35 GDPR. Piattaforme informatiche e cifratura dei dati Tra le soluzioni consigliate per proteggere i dati, il Garante privilegia piattaforme informatiche specialistiche che garantiscano riservatezza mediante cifratura. Tali strumenti riducono il rischio di identificazione e rendono più sicuro il processo di whistleblowing. Esternalizzazione e condivisione dei canali Le nuove linee guida prevedono anche la possibilità di affidare la gestione della piattaforma a fornitori esterni in qualità di responsabili del trattamento (art. 28 GDPR), o di condividere il canale tra più soggetti co-titolari (art. 26 GDPR), purché siano adottate misure tecniche e organizzative che garantiscano visibilità limitata alle sole segnalazioni di competenza di ciascun soggetto. Gruppi societari e chiarezza delle responsabilità Per le società appartenenti a gruppi, il Garante richiede ulteriori chiarimenti per eliminare ambiguità già emerse nelle linee guida precedenti. L’obiettivo è garantire che la gestione centralizzata del canale non comprometta la riservatezza dei segnalanti. Conservazione dei dati Le linee guida stabiliscono tempi certi per la conservazione delle segnalazioni e dei documenti correlati, fissando un limite massimo di cinque anni. Ciò riguarda anche procedimenti disciplinari e trasmissione degli atti alle autorità competenti. Accountability e misure organizzative Il Garante ribadisce che non basta un adeguamento formale alla normativa. Le imprese devono adottare misure tecniche e organizzative proporzionate ai rischi , tra cui soluzioni che impediscano la tracciabilità del segnalante nei canali informatici interni, prevenendo qualsiasi identificazione indiretta tramite dati inferenti. Whistleblowing più sicuro ed efficace L’intervento congiunto di ANAC e Garante mira a creare un sistema più maturo, capace di proteggere realmente chi segnala illeciti. Una maggiore chiarezza normativa e una gestione attenta dei dati rappresentano un passo concreto verso un whistleblowing più sicuro, efficace e rispettoso dei diritti di tutte le persone coinvolte.
La Commissione Europea ha presentato il Digital Omnibus , il pacchetto normativo che promette di rivoluzionare il quadro digitale dell’Unione, il più importante dal GDPR del 2018. La proposta, ufficializzata il 19 novembre 2025, non riguarda solo la protezione dei dati personali, ma include anche l’intelligenza artificiale, i cookie, la sicurezza informatica (NIS2), il Data Act e l’identità digitale europea. L’obiettivo è semplificare le regole , ridurre il carico amministrativo e facilitare l’innovazione, in particolare per le PMI digitali . La Commissione stima una riduzione del 25% dei costi di compliance per tutte le imprese e del 35% per le piccole e medie aziende. Le principali novità Tra le modifiche più significative spicca la ridefinizione del concetto di “dato personale” , che potrebbe escludere molte informazioni pseudonimizzate, come ID utente o cookie, dalla tutela del GDPR. Ciò aprirebbe scenari più flessibili per l’uso dei dati online, ma ridurrebbe alcune garanzie per la privacy individuale. Viene inoltre introdotta una nuova categoria di imprese, le Small-Mid Caps (SMC) , che potrebbero godere di alcune deroghe GDPR, come l’esonero dal registro delle attività di trattamento per i dati “a basso rischio”. Per quanto riguarda l’intelligenza artificiale , la proposta equipara lo sviluppo e l’uso di sistemi IA a un “legittimo interesse” dei titolari del trattamento, semplificando l’uso di dati personali per addestrare algoritmi. Anche i dati sensibili “inferiti” potrebbero essere trattati con regole più leggere rispetto a oggi, pur mantenendo alcuni principi di trasparenza e correttezza. Sul fronte dei cookie e del tracciamento , l’Omnibus introduce modalità di consenso più “machine-readable” e centralizzate, riducendo il fastidio dei continui banner. Tuttavia, il nuovo modello si avvicinerebbe a un opt-out più che a un opt-in, spostando responsabilità sugli utenti. Altre novità riguardano la decisione automatizzata , il “report once” per gli incidenti di sicurezza, e l’integrazione dei dati nell’ EU Digital Identity Wallet , strumento potenzialmente potente ma con rischi significativi se non gestito con adeguate garanzie. Opinioni e riflessioni Le reazioni degli esperti italiani e delle associazioni per la privacy sono contrastanti. Da un lato, operatori e aziende vedono nell’Omnibus una grande occasione per snellire i processi e sfruttare i dati a fini di innovazione, anche nel campo dell’IA. Dall’altro lato, associazioni come Federprivacy, NOYB ed EDRi evidenziano i rischi: la ridefinizione di “dato personale” e le deroghe per le PMI potrebbero indebolire le protezioni fondamentali. Il trattamento di dati inferiti e l’ampliamento delle decisioni automatizzate sollevano dubbi sul bilanciamento tra innovazione e diritti dei cittadini. Secondo molti esperti, la proposta rischia di favorire le Big Tech straniere, in particolare statunitensi, e di ridurre la trasparenza dei sistemi IA ad alto rischio. Al contempo, la semplificazione dei processi di segnalazione e l’allineamento dei regolamenti digitali promettono vantaggi concreti, soprattutto in termini di competitività europea. Il pacchetto entrerà ora nel processo legislativo europeo, dove Parlamento e Consiglio potranno introdurre emendamenti . Il dibattito sarà decisivo per determinare quanto l’Omnibus riuscirà a conciliare efficienza, innovazione e tutela della privacy.
Stop a Clothoff l’app che spoglia le persone. Il Garante per la protezione dei dati personali ha disposto, in via d’urgenza e con effetto immediato, la limitazione provvisoria del trattamento dei dati personali degli utenti italiani nei confronti di una società, con sede nelle Isole Vergini Britanniche, che gestisce l’app Clothoff. Clothoff offre un servizio di AI generativa che rende possibile – gratuitamente e a pagamento – la generazione di immagini di “deep nude”, ovvero foto e video falsi che ritraggono persone reali in pose nude o sessualmente esplicite o, addirittura, pornografiche. L’applicazione consente a chiunque – inclusi i minorenni – di creare fotografie e realizzare video partendo da immagini, anche ritraenti minori, in assenza di qualsiasi accorgimento che permetta di verificare il consenso della persona ritratta e senza apporre alcuna segnalazione circa il carattere artificiale di foto e video. Il blocco del Garante, che comunque ha avviato un’attività di indagine finalizzata a contrastare tutte le app di nudificazione, si è reso necessario a causa degli elevati rischi che tali servizi possono comportare per i diritti e le libertà fondamentali, con particolare riguardo alla tutela della dignità della persona, ai diritti di riservatezza e di protezione dati personali dei soggetti coinvolti in queste tipologie di trattamenti, specie se coinvolgono ragazzi minorenni. Lo confermano i numerosi e recenti fatti di cronaca nazionale italiana, dai quali emerge come l’abuso di immagini in tal modo artefatte stia ormai generando un vero e proprio allarme sociale.
Con il provvedimento n. 364 del 2025 , il Garante per la protezione dei dati personali è tornato a trattare il tema della corretta gestione degli account e-mail aziendali dopo la cessazione del rapporto di lavoro. Il caso esaminato riguarda un ex dipendente che aveva segnalato come la propria casella di posta elettronica aziendale fosse rimasta attiva nonostante le ripetute richieste di disattivazione. Dalle verifiche svolte dal Garante è emerso che il reindirizzamento delle e-mail era rimasto operativo per circa otto mesi dopo la fine del rapporto lavorativo. Durante questo periodo, un altro dipendente aveva acceduto all’account per scaricare documenti fiscali esteri e reimpostare le credenziali di accesso a siti e piattaforme, in assenza di un regolamento interno sull’uso della posta elettronica aziendale. L’azienda ha giustificato la propria condotta spiegando che l’ex dipendente ricopriva un ruolo strategico e che il mantenimento temporaneo dell’account era necessario per continuare a comunicare con alcuni clienti esteri e gestire la relativa documentazione fiscale, evitando la perdita di contatti o rapporti economici importanti. Tuttavia, tali motivazioni non sono state considerate sufficienti dal Garante, che ha rilevato una violazione dei principi fondamentali del trattamento dei dati personali, in particolare: del principio di liceità, della limitazione della conservazione dei dati, della minimizzazione dei dati trattati, e del principio di correttezza, poiché non era stato adottato un disciplinare interno né erano state fornite all’interessato le dovute informazioni sul trattamento dei dati. Il Garante ha sottolineato che questi principi, già richiamati in numerosi altri provvedimenti, non bastano da soli a definire un comportamento corretto nella gestione e disattivazione degli account e-mail. Si tratta infatti di un’operazione apparentemente semplice, ma che spesso comporta violazioni della normativa sulla privacy da parte delle aziende. Riguardo alla regola generale di disattivazione, l’Autorità ha ribadito un orientamento ormai consolidato: gli account e-mail aziendali associati a persone identificate o identificabili (quindi con nome e cognome) devono essere rimossi dopo la fine del rapporto di lavoro, previa disattivazione dell’account e contestuale attivazione di un messaggio automatico che informi i mittenti della cessazione del rapporto e fornisca un indirizzo alternativo collegato all’attività dell’azienda. Inoltre, è necessario prestare particolare attenzione ai sistemi di reindirizzamento automatico delle e-mail, poiché essi comportano la trasmissione di informazioni personali dell’ex dipendente. Pertanto, ogni forma di reindirizzamento deve essere conforme al Regolamento generale sulla protezione dei dati (GDPR) e deve basarsi su un consenso esplicito dell’interessato o su una valida base giuridica per il trattamento. Infine, il Garante precisa che anche il tempo di disattivazione dell’account deve essere ragionevole: deve cioè bilanciare il diritto del dipendente alla riservatezza della propria corrispondenza con gli interessi organizzativi dell’azienda. Di conseguenza, la disattivazione deve avvenire entro tempi tecnici appropriati, che permettano sia la chiusura della casella di posta sia l’attivazione dei sistemi automatici di risposta.
Stop a Clothoff l’app che spoglia le persone. Il Garante per la protezione dei dati personali ha disposto, in via d’urgenza e con effetto immediato, la limitazione provvisoria del trattamento dei dati personali degli utenti italiani nei confronti di una società, con sede nelle Isole Vergini Britanniche, che gestisce l’app Clothoff. Clothoff offre un servizio di AI generativa che rende possibile – gratuitamente e a pagamento – la generazione di immagini di “deep nude”, ovvero foto e video falsi che ritraggono persone reali in pose nude o sessualmente esplicite o, addirittura, pornografiche. L’applicazione consente a chiunque – inclusi i minorenni – di creare fotografie e realizzare video partendo da immagini, anche ritraenti minori, in assenza di qualsiasi accorgimento che permetta di verificare il consenso della persona ritratta e senza apporre alcuna segnalazione circa il carattere artificiale di foto e video. Il blocco del Garante, che comunque ha avviato un’attività di indagine finalizzata a contrastare tutte le app di nudificazione, si è reso necessario a causa degli elevati rischi che tali servizi possono comportare per i diritti e le libertà fondamentali, con particolare riguardo alla tutela della dignità della persona, ai diritti di riservatezza e di protezione dati personali dei soggetti coinvolti in queste tipologie di trattamenti, specie se coinvolgono ragazzi minorenni. Lo confermano i numerosi e recenti fatti di cronaca nazionale italiana, dai quali emerge come l’abuso di immagini in tal modo artefatte stia ormai generando un vero e proprio allarme sociale. Roma, 3 ottobre 2025 (Fonte: garanteprivacy.it – comunicato stampa 3 ottobre 2025)
Il Garante per la protezione dei dati personali ha applicato una sanzione di 50mila euro ad un’azienda del settore automotive per aver gestito in modo scorretto le informazioni dei propri dipendenti, incluse quelle sulla salute. Il provvedimento è scattato a seguito di una segnalazione sindacale, che ha evidenziato una pratica diffusa all’interno dell’azienda: dopo assenze per malattia, infortunio o ricovero, i lavoratori venivano sottoposti a un colloquio accompagnato da un questionario. Il documento, compilato da un diretto responsabile, veniva poi trasmesso all’Ufficio Risorse Umane che con il responsabile e/o con il medico competente valutava, in base a quanto rappresentato dall’azienda, eventuali iniziative a tutela della salute dei lavoratori, ad esempio modificando la postazione di lavoro o intervenendo sulle relazioni lavorative. Nel corso dell’istruttoria il Garante ha però riscontrato numerose violazioni del Regolamento UE (GDPR), tra cui l’assenza di un’informativa chiara e trasparente ai dipendenti e la mancanza di una base giuridica per il trattamento dei dati, anche relativi alla salute. L’Autorità ha inoltre ravvisato una conservazione di dati dei lavoratori non pertinenti (nel caso di assenze dal lavoro) e sproporzionati (fino a dieci anni), e un trattamento di dati non rilevante per valutare le capacità professionali del personale. Il Garante ha dunque ordinato all’azienda il divieto del trattamento dei dati e la cancellazione di quelli già raccolti e conservati. Nel comminare la sanzione l’Autorità ha tenuto conto della gravità e della durata delle violazioni, del fatto che il trattamento abbia riguardato anche dati sulla salute, del numero di dipendenti coinvolti (circa 890) e del fatturato dell’azienda. (Fonte: Newsletter Garante)
Con un provvedimento del 4 agosto 2025, il Garante per la protezione dei dati personali ha preso posizione sul caso che ha visto protagonista il noto attore le cui conversazioni private, diffuse senza consenso, sono diventate oggetto di scherno mediatico, con gravi ripercussioni sulla sua immagine pubblica e sulla sfera personale. L’Autorità ha ricordato che la diffusione di corrispondenza privata costituisce un trattamento di dati personali tutelato dalla Costituzione e dal Regolamento europeo sulla privacy (Gdpr). Anche nei confronti di personaggi noti, infatti, il diritto di cronaca deve rispettare il principio di “essenzialità dell’informazione” : solo i dati realmente rilevanti per l’interesse pubblico possono essere diffusi, mentre aspetti intimi e affettivi restano protetti. Alla luce di ciò, il Garante ha avvertito che la circolazione dell’audio e di eventuali estratti delle conversazioni potrebbe violare la normativa vigente, con conseguenze anche sanzionatorie. Un richiamo che rilancia il dibattito sul fragile equilibrio tra diritto di informare e diritto alla riservatezza anche quando in gioco ci sono persone del mondo dello spettacolo.
Il Garante ha inflitto una pesante sanzione da 420.000 euro ad una azienda che aveva utilizzato contenuti estratti dal profilo Facebook e da chat private su Messenger e Whatsapp di una Lavoratrice per avviare un procedimento disciplinare ai danni della stessa, culminato con un licenziamento. Tra i contenuti utilizzati dal Datore di lavoro vi erano scambi di opinione avvenuti in contesti estranei al rapporto di lavoro che erano stati trasmessi al Datore di Lavoro attraverso screenshot da alcuni colleghi che erano anche “amici” su Facebook della Lavoratrice e membri delle conversazioni su Messenger e Whatsapp . La Lavoratrice ha presentato reclamo all’Autorità Garante, ritenendo che la Datrice di Lavoro avesse trattato in modo illecito i suoi dati personali. Il Garante ha sottolineato che, una volta accertato il carattere privato delle conversazioni e dei commenti, pubblicati peraltro in ambienti digitali ad accesso limitato, la società avrebbe dovuto astenersi dal farne uso vista la palese violazione dei principi posti alla base del trattamento di dati personali (liceità, soddisfatta da un’idonea base giuridica, finalità determinata, esplicita e legittima e minimizzazione dei dati che devono essere adeguati, pertinenti e limitati a quanto necessario). A supporto di tali argomentazioni, il Garante richiama a sentenza n. 21107/2014 della Corte di Cassazione che aveva sancito che “ deve riconoscersi il dato oggettivo dell'acquisizione d'informazioni attinenti [al] dipendente, di per sé sufficiente a rendere configurabile un trattamento di dati […], le cui modalità ed i cui limiti devono essere ricostruiti avendo riguardo alla gestione del rapporto di lavoro, cui è indiscutibilmente preordinata l'adozione di provvedimenti disciplinari ”; - “ l'immissione di alcuni dei propri dati personali in rete, pur lasciando presumere la volontà dell'interessato di permetterne l'utilizzazione in vista degli obiettivi per cui gli stessi sono stati posti a disposizione del pubblico, non consente tuttavia di ritenere che quel consenso sia stato implicitamente prestato anche in funzione di qualsiasi altro trattamento. L’utilizzazione dei dati diffusi per finalità diverse da quella per cui ne è stata consentita la divulgazione costituisce d'altronde un'eventualità già presa in considerazione da questa Corte …”. La prova acquisita illecitamente, in violazione di un diritto costituzionalmente protetto alla riservatezza nella corrispondenza privata, conclude il Garante, è essa stessa un fatto illecito.
Nella Gazzetta Ufficiale, n. 171 del 25.07.2025 è stata pubblicata la Legge 18 luglio 2025 n. 106 recante “ Disposizioni concernenti la conservazione del posto di lavoro e i permessi retribuiti per esami e cure mediche in favore dei lavoratori affetti da malattie oncologiche, invalidanti e croniche”. Entrata in vigore : 9 agosto 2025 A chi si applica : Lavoratori dipendenti, pubblici e privati, affetti da malattie oncologiche “in fase attiva o in follow-up precoce” , oppure affetti da malattie invalidanti o croniche, anche rare, che comportino un grado di invalidità pari o superiore al 74% o dipendente con figli minorenni affetti dalle medesime malattie e condizioni di invalidità. Chi c ertifica le patologie invalidanti : Medici operanti in strutture pubbliche o private, a partire dal Medico di base. Cosa prevede : Congedo di 24 mesi , continuativo o frazionato, decorrenti dall’esaurimento di altri periodi di assenza giustificata, con o senza retribuzione, spettanti a qualsiasi titolo. Durante il congedo il dipendente conserva il posto di lavoro senza diritto alla retribuzione e non può svolgere un’altra attività lavorativa. Il periodo di congedo non è computato nell’anzianità di servizio né ai fini previdenziali, ma è riconosciuta la facoltà all’interessato di riscattare i periodi di congedo non coperti da contribuzione la normativa vigente. Sono fatte salve le previsioni più favorevoli della contrattazione collettiva o della disciplina applicabile al rapporto di lavoro. (Art. 1, comma 1). Permessi visite mediche dipendenti e figli . A decorrere dal 1° gennaio 2026, vengono riconosciute 10 ore annue di permesso, coperti da indennità economica e copertura previdenziale figurativa, per lo svolgimento di visite, esami strumentali analisi chimico-cliniche e microbiologiche o di cure mediche frequenti, a condizione che sussista una prescrizione del medico di medicina generale o di un medico specialista operante in una struttura sanitaria, pubblica o privata, accreditata. (Art. 2) Priorità per il lavoro agile . Decorso il periodo di congedo biennale, al lavoratore dipendente viene riconosciuto, ove la prestazione lo consenta, il diritto ad accedere prioritariamente al lavoro agile. (Art. 1, comma 4). Sospensione dell’attività per il lavoratore autonomo . I lavoratori autonomi, professionisti e occasionali, potranno sospendere l’esecuzione della prestazione per un periodo non superiore a 300 giorni per anno solare. (Art. 1, comma 3).
Con provvedimento del 29 aprile 2025 il Garante della Privacy ha sanzionato ai sensi del GDPR per violazione della privacy sui metadati delle e-mail dei dipendenti e delle attività di navigazione web, sulla base delle sue linee guida del 2024 in materia di uso dei metadati nei sistemi di posta elettronica sul luogo di lavoro. Violazioni Durante l’ispezione d’ufficio, il Garante ha scoperto che il datore di lavoro (in questo caso pubblico) conservava: metadati delle e-mail per un massimo di 90 giorni; registri di navigazione web per 12 mesi; dati dei registri dell’helpdesk (contenenti gli identificativi dei dipendenti e la cronologia dei ticket) per quasi 10 anni. Questi periodi di conservazione superavano di gran lunga quelli ritenuti proporzionati dalle Linee guida, soprattutto in assenza di un accordo sindacale o di un’autorizzazione dell’autorità del lavoro. Sanzione Oltre alla sanzione pecuniaria, il Garante ha ordinato al datore di lavoro di: limitare la conservazione dei registri di navigazione a 90 giorni e successivamente procedere all’anonimizzazione; ridurre al minimo e crittografare i metadati delle e-mail; limitare l’accesso ai metadati al solo personale autorizzato; aggiornare le politiche interne e la documentazione sulla privacy; rivedere i contratti con i fornitori IT terzi per riflettere gli obblighi dell’articolo 28 del GDPR; condurre una DPIA per valutare e mitigare i rischi per la privacy; garantire la futura conformità agli obblighi di legge in materia di lavoro per qualsiasi trattamento che possa comportare il monitoraggio dei dipendenti. Cosa sono i metadati e perché costituiscono un dato personale soggetto alla normativa privacy I metadati generati attraverso l’uso aziendale della posta elettronica e di Internet includono informazioni quali gli indirizzi del mittente e del destinatario, l’oggetto, la data e l’ora di trasmissione, la presenza e la dimensione degli allegati e gli indirizzi IP. Non includono il contenuto effettivo dei messaggi, ma possono portare a rivelare modelli di comportamento e, indirettamente, i livelli di rendimento o produttività e in ambito lavorativo la loro analisi diventa un tema delicato. Il loro trattamento deve essere conforme non solo ai principi del GDPR, ma anche alla normativa in materia di controlli a distanza (articolo 4 della legge n. 300/1970 (Statuto dei Lavoratori) in quanto costituiscono dati personali. I datori di lavoro non devono più trattare i metadati come un dato tecnico ma, attraverso una valutazione di impatto sulla protezione dei dati, devono: classificarlo; valutarlo in base al rischio proteggerlo e regolamentarlo in quanto dato personale soggetto alla normativa privacy e di diritto del lavoro in quanto controllo a distanza (come la videosorveglianza). Conseguenze sul datore di lavoro E’ quindi importante rivedere le proprie politiche al fine di: verificare i sistemi di conservazione dei metadati relative alle comunicazioni dei dipendenti e alle finalità del trattamento dei loro dati; aggiornare le relative autorizzazioni con gli ispettorati o gli accordi sindacali, se necessario, per coprire nuovi tipi di trattamento dei dati limitare il periodo di conservazione a 21 giorni o ottenere le autorizzazioni sindacali appropriate; valutare i sistemi dei fornitori; adottare informative dettagliate sulla privacy e politiche interne sull’uso dei metadati.
Il Garante per la protezione dei dati personali, nella Newsletter n. 533 del 21 marzo 2025, informa di aver sanzionato un’azienda di autotrasporto per aver controllato in modo illecito circa 50 dipendenti, durante la loro attività lavorativa, utilizzando un sistema Gps installato sui veicoli aziendali. Diverse le violazioni riscontrate dall’Autorità, intervenuta a seguito della ricezione di un reclamo da parte di un ex dipendente dell’azienda. Dalle ispezioni, effettuate in collaborazione con il Nucleo tutela privacy della Guardia di finanza, è emerso che il sistema Gps tracciava in modo continuativo i dati di localizzazione, velocità, chilometraggio e stato dei veicoli (ad es. quando erano spenti o accesi), senza rispettare la normativa privacy e in modo difforme da quanto previsto dal provvedimento autorizzatorio rilasciato dall’Ispettorato territoriale del lavoro. In particolare, sono state rilevate gravi carenze nell’informativa fornita ai lavoratori, tra cui la mancata indicazione delle specifiche modalità con cui il trattamento veniva realizzato e la informazione relativa alla diretta identificabilità dei conducenti dei veicoli geolocalizzati. Tali trattamenti sono risultati contrari anche alle specifiche misure di garanzia indicate dall’Ispettorato del lavoro nel provvedimento di autorizzazione che era stato rilasciato all’azienda, che infatti prevedeva l’anonimizzazione dei dati raccolti e l’adozione di soluzioni tecnologiche in grado di limitare la raccolta di dati personali non necessari o eccedenti rispetto alle finalità di sicurezza e organizzazione aziendale. Inoltre, i dati raccolti venivano conservati per oltre 5 mesi, in violazione dei principi di minimizzazione e limitazione della conservazione dei dati stabiliti dal Regolamento UE. Il Garante, in considerazione delle numerose e gravi violazioni riscontrate, oltre al pagamento di una sanzione di 50mila euro, ha ordinato all’azienda di fornire un’idonea informativa ai dipendenti e di adeguare i trattamenti effettuati attraverso il sistema Gps alle garanzie prescritte nel provvedimento autorizzatorio rilasciato, a suo tempo, dall’Ispettorato territoriale del lavoro all’azienda.
Per quanto tempo è lecito conservare le email di un dipendente dopo che il rapporto di lavoro è cessato? Come gestire correttamente questi dati? Una sentenza del Garante Privacy fa chiarezza sul tema: l’avvocato Carla Dehò ne ha parlato in una video-intervista ora online su 4clegal.com Il caso è emblematico: un'azienda conserva per tre anni email e log di accesso di un ex dipendente, utilizzandoli poi in una vertenza giudiziaria. Il risultato? Sanzione per violazione della privacy e controlli a distanza illeciti. Abbiamo ripercorso la vicenda analizzando le motivazioni del Garante, gli errori da evitare e le best practice per tutelare gli interessi aziendali. Il video completo è disponibile a questo link .
