Pubblica Amministrazione
68 provvedimenti — 21 sanzioni, 33 pareri, 14 altro
14/07/2026
Presidenza del Consiglio dei Ministri - Dipartimento per gli affari giuridici e legislativi
Il Garante esprime parere favorevole sullo schema di decreto legislativo di adeguamento al regolamento IA 2024/1689, condizionato all'integrazione di quattro specifiche esigenze normative relative ai poteri del Garante stesso, alla disciplina sanzionatoria, alla responsabilità per la valutazione di conformità e alla partecipazione dello Spazio di sperimentazione per l'IA. È inoltre sottoposta a valutazione l'opportunità di estendere alle decisioni valutative il divieto di decisioni automatizzate in ambito lavorativo. AI
03/07/2026
Comune di San Genesio ed Uniti
Il Garante ha accertato l'illiceità del trattamento di dati personali relativi all'appartenenza sindacale e dati del rappresentante sindacale, effettuato dal Comune in assenza di base giuridica, in violazione degli artt. 5, 6 e 9 GDPR. La comunicazione a un ente destinatario di una procedura di mobilità è stata ritenuta priva di idonea base legale, nonostante il convincimento errato del Comune che il destinatario fosse già informato. È stata comminata una sanzione di 2.000 euro, considerando il carattere episodico della violazione, la natura colposa della condotta e le limitate risorse dell'ente. AI
03/07/2026
ANAC
Il Garante esprime parere favorevole sulla bozza di delibera ANAC che disciplina la pubblicazione dei contributi ricevuti per campagne elettorali, prevedendo l'oscuramento dei nominativi dei donatori persone fisiche nella pubblicazione su web, pur assicurando l'accesso ai dati completi tramite istanza di accesso civico generalizzato. La soluzione bilancia esigenze di trasparenza amministrativa con protezione dei dati personali di natura sensibile (opinioni politiche), nel rispetto dei principi di necessità e minimizzazione. AI
03/07/2026
Comune di Luisago
Il Garante esprime parere negativo sulla richiesta di accesso civico generalizzato ai dati delle autorizzazioni NCC presentata da una società privata. L'accesso è escluso perché la disciplina del Decreto Ministeriale n. 203/2024 subordina l'accesso a specifiche condizioni e limiti, e l'ostensione dei dati comporterebbe pregiudizio concreto alla protezione dei dati personali dei soggetti interessati, alterando il regime di conoscibilità previsto per la banca dati nazionale RENT. AI
03/07/2026
Comune di Buglio in Monte
Il Garante esprime parere negativo sulla richiesta di accesso civico generalizzato a dati relativi alle autorizzazioni NCC, ritenendo che l'ostensione di informazioni come sede operativa, indirizzo PEC e recapiti personali costituirebbe un pregiudizio ingiustificato e sproporzionato alla protezione dei dati personali dei titolari delle autorizzazioni. L'accesso è escluso in quanto la disciplina ministeriale (DM 203/2024) subordina l'accesso a specifiche condizioni e limiti, e la conoscenza generalizzata di tali dati non risulta strumentale al controllo delle funzioni istituzionali o alla partecipazione al dibattito pubblico. AI
03/07/2026
Comune di Tresivio
Il Garante esprime parere negativo sulla richiesta di accesso civico generalizzato alle informazioni relative alle autorizzazioni NCC, escludendo l'accesso ai dati personali come sede operativa, indirizzo PEC e recapiti dei titolari. La conoscenza generalizzata di tali informazioni comporterebbe un'interferenza ingiustificata nei diritti e libertà dei soggetti interessati, in violazione della disciplina sulla protezione dei dati personali, confermando precedenti orientamenti del Garante. AI
03/07/2026
Comune di Teglio - Responsabile della prevenzione della corruzione e della trasparenza
Il Garante esprime parere negativo sulla richiesta di accesso civico generalizzato ai dati delle autorizzazioni NCC presentata da una società privata, ritenendo che la divulgazione comporterebbe un pregiudizio concreto alla protezione dei dati personali dei titolari delle autorizzazioni. L'accesso è escluso in quanto subordinato dalla normativa nazionale a specifici limiti e condizioni, e l'ostensione comporterebbe un'interferenza ingiustificata e sproporzionata nei diritti e nelle libertà dei soggetti controinteressati, in violazione dei principi di limitazione della finalità e minimizzazione dei dati previsti dal RGPD. AI
03/07/2026
Comune di Poggiridenti
Il Garante esprime parere negativo sulla richiesta di accesso civico generalizzato ai dati delle autorizzazioni NCC, ritenendo che l'ostensione delle informazioni richieste (sede legale/operativa, indirizzi PEC, recapiti) comporterebbe un pregiudizio concreto alla protezione dei dati personali dei titolari delle autorizzazioni. L'accesso è escluso poiché la disciplina del Decreto Ministeriale n. 203/2024 subordina l'accesso a specifiche condizioni e limiti, e la pubblicazione altererebbe il regime di conoscibilità previsto dal legislatore nazionale per il RENT. AI
25/06/2026
Comune di Samolaco - Responsabile della prevenzione della corruzione e della trasparenza
Il Garante esprime parere negativo sulla concessione dell'accesso civico generalizzato ai dati relativi alle autorizzazioni NCC richiesti da una società. L'accesso deve essere escluso poiché subordinato da norme specifiche a limiti e condizioni, e la conoscibilità generale comporterebbe un pregiudizio concreto alla protezione dei dati personali dei titolari delle autorizzazioni, in particolare per dati come sede legale, PEC e recapiti professionali di ditte individuali. AI
18/06/2026
SanitaService Asl Le s.r.l. Unipersonale
Il Garante ha accertato la violazione degli artt. 5, par. 1, lett. a), 6 e 9, par. 2, lett. b), del Regolamento (UE) 2016/679, nonché dell'art. 2-ter del Codice della privacy, da parte di SanitaService Asl Le s.r.l. Unipersonale per aver consentito l'affissione in bacheca aziendale di un'email contenente dati personali relativi allo stato di salute di due dipendenti (assenze per motivi di salute), in assenza di base giuridica e non conforme al principio di liceità, correttezza e trasparenza. L'email è rimasta affissa per un periodo compreso tra una settimana e circa un mese. Il coordinatore che ha affisso il documento ha agito di propria iniziativa, non conforme alle procedure aziendali. La condotta è stata qualificata come violazione minore. AI
18/06/2026
Responsabile della prevenzione della corruzione e della trasparenza (RPCT) del Comune di Galbiate
Il Garante esprime parere negativo sulla richiesta di accesso civico generalizzato presentata da una società privata per ottenere l'elenco delle autorizzazioni NCC attive, ritenendo che l'ostensione dei dati personali (sede legale, indirizzi PEC, recapiti) determinerebbe un'interferenza ingiustificata nei diritti dei soggetti controinteressati. Il diniego è motivato dal fatto che tali informazioni non risultano strumentali al controllo delle funzioni istituzionali e rappresentano una sproporzionata duplicazione di dati da un registro nazionale, con rischio di usi impropri incompatibili con le finalità originarie della raccolta. AI
18/06/2026
Ministero dell'Istruzione e del Merito
Il Garante esprime parere favorevole sullo schema di decreto del MIM che disciplina l'erogazione di contributi fino a 1.500 euro per studenti di scuole paritarie con ISEE non superiore a 30.000 euro. Il decreto è conforme ai principi di protezione dei dati personali, in particolare per quanto riguarda la minimizzazione dei dati, i flussi informativi con INPS e ANPR, e la cancellazione immediata dei dati non necessari dopo la verifica. AI
18/06/2026
Comune di Sant'Angelo Lodigiano - Responsabile della prevenzione della corruzione e della trasparenza
Il Garante si pronuncia sulla richiesta di riesame di un diniego di accesso civico relativo a documenti sanitari e personali del genitore del richiedente. Il parere conferma il rifiuto dell'accesso poiché i documenti contengono dati sulla salute soggetti a divieto assoluto di diffusione, e ulteriore documentazione personale comporterebbe pregiudizio concreto alla protezione dei dati personali del controinteressato. AI
18/06/2026
ARERA (Autorità di regolazione per energia reti e ambiente)
Il Garante esprime parere favorevole sullo schema di deliberazione ARERA relativo al riconoscimento del contributo straordinario volontario per clienti domestici non titolari del bonus sociale per gli anni 2026-2027. Il parere è stato formulato dopo interlocuzioni informali che hanno reso conforme il trattamento dei dati personali alla normativa sulla protezione dei dati, garantendo minimizzazione dei dati, limitazione della finalità, non reidentificabilità degli interessati e corretta informazione trasparente ai clienti. AI
11/06/2026
Città Metropolitana di Sassari
Il Garante sanziona la Città Metropolitana di Sassari per violazione dei principi di integrità, riservatezza e responsabilizzazione nella configurazione del protocollo informatico, che ha consentito l'accesso non autorizzato a dati personali delicati afferenti a segnalazioni disciplinari. La violazione ha riguardato tutti i dati transitati sul sistema e si è protratta fino alla riconfigurazione del sistema durante l'istruttoria. AI
11/06/2026
Comune di Piacenza
Il Garante dichiara l'illiceità del trattamento dei dati personali (nomi e condizioni di revisione valutativa) di due dipendenti comunali notificati in unico verbale senza oscuramento, violando i principi di liceità e trasparenza. Nonostante il carattere colposo dell'errore e l'assenza di una base giuridica, il Garante ammonisce il Comune per la violazione, ritenendo sussistente una violazione minore. AI
11/06/2026
Responsabile della prevenzione della corruzione e della trasparenza del Comune di Laion
Il Garante esprime parere negativo sulla istanza di accesso civico generalizzato relativa a documentazione edilizia (progetti, elaborati grafici, planimetrie interne, relazioni illustrative) di una persona fisica. Pur ritenendo che i certificati di destinazione urbanistica e le SCIA non oggetto di opposizione dovrebbero essere accessibili con oscuramento dei dati personali eccedenti, il Garante conferma il rifiuto dell'accesso integrale alla documentazione progettuale e tecnica particolareggiata, poiché fornisce informazioni private sulla proprietà e caratteristiche degli immobili che, considerato il regime di pubblicità dell'accesso civico, determina interferenza ingiustificata e sproporzionata nei diritti del controinteressato e pregiudizio concreto alla protezione dei dati personali. AI
08/06/2026
Responsabile della prevenzione della corruzione e della trasparenza del Comune di Montirone
Il Garante esprime parere negativo sulla richiesta di accesso civico generalizzato formulata da una Società nei confronti del Comune di Montirone per l'elenco delle autorizzazioni NCC attive con indicazione di dati personali quali sede legale, indirizzi PEC e ulteriori recapiti professionali. Il diniego è fondato sulla tutela dei dati personali degli interessati (persone fisiche titolari di ditte individuali) e sulla circostanza che l'accesso risulterebbe subordinato da specifiche normative settoriali (Decreto Ministeriale n. 203/2024) che ne limitano la conoscibilità. AI
08/06/2026
Responsabile della prevenzione della corruzione e della trasparenza del Comune di Castegnato
Il Garante ritiene che l'accesso civico alle informazioni richieste dalla Società riguardanti le autorizzazioni NCC attive rilasciate dal Comune di Castegnato vada escluso in quanto l'accesso è subordinato dalla disciplina vigente al rispetto di specifiche condizioni, modalità e limiti contenuti nel Decreto Ministeriale n. 203/2024. Inoltre, l'ostensione dei dati personali identificativi dei titolari delle autorizzazioni (nominativi, indirizzi, recapiti, sede operativa, PEC) determinerebbe un'interferenza ingiustificata e sproporzionata nei diritti e libertà dei soggetti controinteressati, non essendo strumentale al controllo diffuso sul perseguimento delle funzioni istituzionali e sull'utilizzo delle risorse pubbliche, comportando un concreto pregiudizio alla tutela dei dati personali. AI
08/06/2026
Responsabile della prevenzione della corruzione e della trasparenza (RPCT) del Comune di Laino
Il Garante esprime parere sfavorevole sulla concessione dell'accesso civico generalizzato ai dati personali richiesti dalla Società riguardanti le autorizzazioni NCC, inclusi sede operativa, indirizzo PEC e ulteriori recapiti professionali. Tali dati, in quanto riferiti a ditte individuali identificabili, costituiscono dati personali la cui diffusione comporterebbe un pregiudizio concreto alla tutela della protezione dei dati personali, non compensato da evidenti finalità di controllo democratico. La conoscenza generalizzata di queste informazioni non risulta strumentale al perseguimento delle funzioni istituzionali e non è proporzionata rispetto agli obiettivi dell'accesso civico. AI
28/05/2026
AgID – Agenzia per l'Italia digitale
Il Garante accerta violazioni dell'art. 5 parr. 1 lett. a) e b), e 2, e degli artt. 12, 14 e 25 del GDPR per omesso assolvimento degli obblighi informativi nei confronti dei professionisti relativamente al trasferimento dei domicili digitali dall'INI-PEC all'INAD. Le informazioni adeguate sono state introdotte solo nell'estate del 2025, a due anni dall'avvio dei trattamenti. Iroga sanzione di euro 55.000. AI
28/05/2026
Regione Autonoma della Sardegna
Il Garante dichiara l'illiceità del trattamento effettuato dalla Regione Autonoma della Sardegna per violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento (UE) 2016/679 nonché 2-ter del Codice Privacy. La violazione consiste nella trasmissione non autorizzata di dati relativi al rendimento lavorativo di una dipendente (scheda di valutazione della performance) all'Amministrazione presso cui la stessa aveva da poco preso servizio, mediante trasmissione a un indirizzo PEC istituzionale anziché a quello personale preventivamente indicato. Il Garante ordina il pagamento di una sanzione amministrativa pecuniaria di € 3.000,00, ritenuta effettiva, proporzionata e dissuasiva, e dispone la pubblicazione dell'ordinanza sul sito web del Garante. AI
28/05/2026
Azienda Tutela della Salute per la Liguria
Il Garante ha sanzionato l'Azienda Tutela della Salute per la Liguria per il trattamento illegittimo di dati personali relativi alla geolocalizzazione di veicoli aziendali utilizzati da dipendenti. Il sistema di localizzazione satellitare ha comportato un monitoraggio sostanzialmente continuo dei dipendenti conducenti, con violazioni della proporzionalità del trattamento, mancanza di adeguate valutazioni di impatto, insufficiente informativa agli interessati, e utilizzo dei dati a fini disciplinari. Il Garante ha irrogato una sanzione di euro 6.000,00, considerando il trattamento come violazione di gravità media. AI
28/05/2026
Banca d'Italia
Il Garante esprime parere favorevole sullo schema di Regolamento della Banca d'Italia recante disposizioni sul trattamento dei dati personali effettuato nell'ambito delle attività di supporto all'Arbitro Bancario Finanziario (ABF). Lo schema disciplina il trattamento dei dati per: gestione della documentazione per nomina e rinnovo dei componenti del collegio ABF; gestione dei dati nei procedimenti ABF; analisi della documentazione tramite strumenti di ricerca avanzata e sistemi di IA. Il provvedimento, modificato secondo le osservazioni fornite dall'Ufficio, rispetta i principi di privacy by design e by default, minimizzazione dei dati, limitazione della finalità e trasparenza. Con riferimento ai trattamenti mediante IA, il Garante evidenzia l'importanza di misure quali l'anonimizzazione preventiva, l'autonomia decisionale umana, la supervisione multidisciplinare e il continuo monitoraggio della valutazione d'impatto sulla protezione dei dati. AI
28/05/2026
Responsabile della prevenzione della corruzione e della trasparenza del Comune di Brescia
Il Garante esprime parere negativo sulla concessione dell'accesso civico generalizzato a tutti i dati richiesti da una società privata relativi alle autorizzazioni NCC attive presso il Comune di Brescia. Nello specifico, il Garante ritiene che la comunicazione generalizzata di denominazione/ragione sociale, sede operativa, indirizzi PEC e ulteriori recapiti professionali relativi ai titolari, in particolare per le ditte individuali, comporterebbe un pregiudizio concreto alla tutela dei dati personali. Tale pregiudizio non risulta giustificato dal fine dell'accesso civico, quale promozione del controllo diffuso sulle funzioni istituzionali e sulla partecipazione al dibattito pubblico. Il Garante conferma che i dati relativi a persone giuridiche, società e associazioni non costituiscono dati personali e rimangono soggetti alle altre valutazioni in merito a ulteriori limiti all'accesso previsti dalla normativa. AI
25/05/2026
Responsabile della prevenzione della corruzione e della trasparenza del Comune di Lomazzo
Il Garante esprime parere negativo sulla richiesta di accesso civico generalizzato relativa all'elenco completo delle autorizzazioni NCC attive. La richiesta includeva denominazione, sede operativa, PEC e recapiti dei titolari di autorizzazione. Il Garante rileva che i dati relativi a persone fisiche (ditte individuali) costituiscono dati personali meritevoli di protezione secondo il GDPR. La conoscenza generalizzata di tali informazioni determinerebbe un'interferenza ingiustificata e sproporzionata nei diritti dei soggetti controinteressati, non necessaria al perseguimento dello scopo di controllo pubblico e trasparenza amministrativa. L'accesso potrebbe esporre indebita mente dati personali di dettaglio come domicili e contatti professionali a duplicazione e riutilizzo improprio per finalità incompatibili con quelle di rilascio della licenza. AI
14/05/2026
Università degli Studi di Genova
L'Università ha comunicato dati personali relativi a condanne penali e reati di un ricorrente alla CADA in una memoria difensiva, dichiarando di voler evidenziare la non attendibilità della persona. Il Garante ha ritenuto tale comunicazione esorbitante rispetto all'esigenza di difesa nel procedimento e priva di necessità, in quanto le informazioni non avevano attinenza diretta con i fatti oggetto del ricorso. L'Ateneo è stato ammonito per violazione dei principi di liceità, correttezza e trasparenza e per carenza di base giuridica. AI
14/05/2026
Comune di Mirabella Imbaccari
Il Garante ha sanzionato il Comune di Mirabella Imbaccari per aver pubblicato online, senza idonea base normativa e in violazione del principio di minimizzazione, delibere di giunta contenenti dati personali in chiaro del ricorrente, nonché per la mancata nomina del Responsabile della protezione dei dati con omessa comunicazione dei contatti all'Autorità. AI
14/05/2026
Comune di Reggio Calabria
Il Garante dichiara l'illiceità del trattamento dei dati personali effettuato dal Comune di Reggio Calabria mediante trasmissione di filmati di videosorveglianza all'Ufficio Motorizzazione Civile per procedimenti amministrativi relativi a violazioni del codice della strada, in violazione dei principi di liceità, correttezza e trasparenza e in assenza di base giuridica. Pur riconoscendo la violazione carattere colposo e la complessità giuridica della questione, il Garante ammonisce il Comune. AI
29/04/2026
Lepida S.c.p.A.
Il Garante dichiara l'illiceità dei trattamenti di dati personali effettuati da Lepida S.c.p.A. relativamente alla gestione dell'identità digitale LepidaID per violazione degli artt. 5 par. 1 lett. c), e), f), art. 13 par. 1 lett. a), e artt. 25 e 32 del GDPR. Sono stati accertati: carenze nei principi di integrità e riservatezza; lacune nell'informativa agli interessati; insufficienti misure tecniche e organizzative di sicurezza; accesso eccessivamente ampio agli operatori; problematica gestione dei dati biometrici. Archiviata parzialmente la contestazione relativa al tracciamento delle transazioni. Ordinato il pagamento di € 100.000,00 con pubblicazione dell'ordinanza ingiunzione. AI
29/04/2026
Presidenza del Consiglio dei ministri – Dipartimento della Protezione Civile
Il Garante accerta la violazione degli artt. 5, par. 1, lett. b) e c), e 12, parr. 3 e 4, del Regolamento (UE) 2016/679 commessa dalla Presidenza del Consiglio dei ministri – Dipartimento della Protezione Civile. Il Dipartimento ha pubblicato online per un periodo eccessivo un elenco contenente dati personali comuni (nome, cognome e macroarea) di soggetti tra cui la ricorrente, in violazione dei principi di limitazione della finalità e minimizzazione. Inoltre, ha omesso di fornire tempestivo riscontro all'istanza di esercizio dei diritti presentata dalla ricorrente. Qualificata come violazione minore, è stato irrogato ammonimento. AI
29/04/2026
Consiglio Nazionale dei Periti Industriali e dei Periti Industriali Laureati
Il Garante accerta che il CNPI ha effettuato un trattamento di dati personali non conforme al principio di liceità mediante l'attivazione di un sistema di inoltro automatico dei messaggi di posta elettronica dall'indirizzo personale di un ex Consigliere alla casella collettiva dell'Ente. Tale condotta ha violato gli artt. 5, 6, 12, 13 e 14 del GDPR. Per le violazioni accertate il Garante applica una sanzione amministrativa pecuniaria di € 3.000,00 AI
29/04/2026
Ministero della Giustizia
Il Garante dichiara illecito il trattamento dei dati personali effettuato dal Ministero della Giustizia attraverso la diffusione, presso la bacheca della Casa Circondariale Cosenza "Sergio Cosmai" e alle organizzazioni sindacali, di un ordine di servizio contenente informazioni sulla salute di un dipendente (riferimenti alle "condizioni fisiche", alle "esigenze di salute" e all'"alternanza della postura"), in violazione degli articoli 5, paragrafo 1, lettera a), 6 e 9 del GDPR e dell'articolo 2-ter del Codice Privacy. Il trattamento è avvenuto in assenza di una idonea base giuridica e senza rispetto dei principi di liceità, correttezza e trasparenza. Il Garante iroga una sanzione amministrativa pecuniaria di € 12.000,00. AI
23/04/2026
Comune di Trieste
Il Garante esprime parere favorevole alla decisione del Comune di Trieste di accogliere parzialmente l'istanza di accesso civico generalizzato relativa a documenti su sversamenti di liquami fognari, omettendo i nominativi e gli indirizzi di residenza dei proprietari destinatari delle comunicazioni di avvio procedimento. L'omissione è giustificata dal principio di minimizzazione dei dati e dalla tutela della protezione dei dati personali, in quanto la conoscenza generalizzata di tali informazioni personali non è necessaria al raggiungimento dello scopo dell'accesso civico e determina un'interferenza ingiustificata nei diritti dei soggetti controinteressati. AI
17/04/2026
Ministero dell'Interno - Dipartimento della Pubblica Sicurezza - Polizia di Stato
Il Garante dichiara illecito il trattamento di dati personali (assenze per malattia) effettuato dalla Polizia di Stato in relazione a procedimenti disciplinari, per violazione dei principi di liceità, correttezza e trasparenza, nonché per tardivo riscontro alle richieste di esercizio dei diritti degli interessati. Il Ministero è ammonito per le violazioni riscontrate. AI
17/04/2026
Responsabile della prevenzione della corruzione e della trasparenza del Comune di XX
Il Garante analizza una richiesta di accesso civico riguardante documenti relativi alla verifica delle condizioni di eleggibilità e compatibilità degli amministratori comunali, nonché informazioni su debiti verso l'Ente e procedure di incompatibilità. Il Comune ha negato l'accesso in base alla protezione dei dati personali. Il Garante ritiene che le dichiarazioni sostitutive di inconferibilità e l'attestazione del Responsabile Finanziario possano essere rese accessibili con oscuramento dei dati eccedenti, mentre la documentazione relativa a dilazioni, pagamenti e dettagli tributari realizza un'interferenza sproporzionata. Tuttavia, le informazioni riguardanti le date esatte dei pagamenti, l'esistenza di rateizzazioni non mantenute e le regolarizzazioni, qualora rilevanti per la verifica delle condizioni di eleggibilità e compatibilità, non possono essere negate sulla base della protezione dei dati personali di titolari di incarichi politici. AI
17/04/2026
Comune di Cogoleto
Il Garante accerta l'illiceità del trattamento effettuato dal Comune di Cogoleto mediante bodycam indossate da agenti di Polizia Locale, per violazione dei principi di liceità, correttezza e trasparenza, nonché per l'assenza di idoneo presupposto di liceità e omissione della valutazione di impatto sulla protezione dei dati. Pur considerando la condotta colposa, le modeste dimensioni dell'ente e la spontanea interruzione del trattamento, applica una sanzione amministrativa pecuniaria di euro 4.000. AI
26/03/2026
Ministero delle infrastrutture e dei trasporti - Direzione generale per la motorizzazione
Il Garante esprime parere favorevole condizionato sullo schema di decreto che disciplina il Registro elettronico delle Agenzie Telematiche (ReAT), imponendo specifiche condizioni per garantire conformità ai principi di protezione dei dati. Le criticità riguardano la minimizzazione dei dati acquisiti, la definizione delle basi giuridiche, i termini di conservazione e le misure di sicurezza. Il Garante richiede inoltre una valutazione d'impatto in ossequio al principio di responsabilizzazione. AI
26/03/2026
Ministero dell'Istruzione e del Merito
Il Garante esprime parere favorevole allo schema di decreto del MIM che disciplina il funzionamento del servizio digitale «AscoltaMI» per l'erogazione di sostegno psicologico agli studenti. Il provvedimento assicura il rispetto del GDPR attraverso misure tecniche e organizzative appropriate, limitazione della finalità e minimizzazione dei dati, con particolare attenzione alla tutela dei dati sulla salute e alla riservatezza delle comunicazioni psicologiche. AI
26/03/2026
Comune di Cassino
Il Garante ha sanzionato il Comune di Cassino per la diffusione online di dati personali identificativi e reddituali di un soggetto, mantenuti sul sito istituzionale per oltre un anno e mezzo senza base giuridica idonea e in violazione del principio di minimizzazione. Sebbene l'ente abbia successivamente rimosso i dati e collaborato nel procedimento, la violazione è stata ritenuta di gravità media e colposa, derivante dalla convinzione errata di dover pubblicare i documenti per obbligo di trasparenza. AI
26/03/2026
Comune di Vicenza
Il Garante esprime parere favorevole al diniego dell'accesso civico generalizzato opposto dal Comune di Vicenza a una richiesta riguardante rimborsi di spese legali in relazione a un procedimento penale. L'accesso è rifiutato per la presenza di dati personali delicati e giudiziari che determinerebbero un pregiudizio concreto alla protezione dei dati dei controinteressati, in violazione del principio di minimizzazione dei dati del RGPD. AI
26/03/2026
Ordine degli Avvocati di Piacenza
Il Garante ha accertato la violazione dei principi di liceità, correttezza e trasparenza e dell'assenza di base giuridica da parte dell'Ordine degli Avvocati di Piacenza per aver mantenuto pubblicato online oltre il termine di efficacia un provvedimento disciplinare di sospensione a carico di un avvocato. L'Ordine ha mantenuto il nominativo dell'avvocato nell'elenco dei sospesi dal sito web istituzionale, rendendo le informazioni indicizzabili dai motori di ricerca fino a settembre 2024, violando i diritti dell'interessato. AI
26/03/2026
Comune di XX
Il Garante ha accertato la trasmissione illegittima del certificato telematico di malattia di una segretaria comunale alla Prefettura e al segretario generale sostituto in assenza di idonea base giuridica. Pur riconoscendo il carattere isolato dell'errore materiale e le misure correttive adottate dall'ente, ha irrogato una sanzione di 3.000 euro per violazione dei principi di liceità, correttezza e minimizzazione dei dati. AI
26/03/2026
Comune di XX
Il Garante accerta la violazione dei principi di liceità, correttezza, trasparenza e minimizzazione dei dati per la pubblicazione nell'Albo Pretorio online di delibere e determinazioni contenenti dati personali delicati relativi alla salute, stato di gravidanza, maternità e congedo parentale di una dipendente comunale. Sebbene il Comune abbia adottato misure correttive tempestivamente e la violazione presenti carattere colposo, viene inflitta una sanzione di 5.000 euro quale sanzione effettiva, proporzionata e dissuasiva. AI
12/03/2026
INPS - Istituto nazionale previdenza sociale
Il Garante dichiara illeciti i trattamenti dati effettuati dall'INPS nella procedura DSU precompilata dell'ISEE, che hanno consentito la visualizzazione non autorizzata dei dati anagrafici (codice fiscale, cognome, nome, data di nascita) di 47.464 interessati appartenenti a comunità conviventi (strutture di riposo, comunità religiose, contesti di cura e assistenza). La violazione è derivata da malfunzionamento tecnico nella precompilazione dei nuclei familiari basata su convivenze anagrafiche acquisite dall'ANPR. Il Garante applica una sanzione di 40.000 euro per le violazioni di liceità, base giuridica, minimizzazione dei dati e accountability, e dirige un ammonimento per aver consentito l'accesso ai servizi online da parte di minori. È disposta la pubblicazione del provvedimento. AI
12/03/2026
Ministero dell'Interno
Il Garante ha accertato la violazione del principio di trasparenza e degli obblighi di comunicazione del Ministero dell'Interno per aver indicato nel portale della Carta d'Identità Elettronica un recapito non aggiornato del Responsabile della Protezione dei Dati, causando il tardivo riscontro alla richiesta di esercizio del diritto di cancellazione. Il Ministero è stato ammonito per le violazioni degli articoli 5, 12 e 13 GDPR e ha provveduto ad aggiornare l'informativa. AI
06/03/2026
Consiglio nazionale dei dottori commercialisti e degli esperti contabili
Il Garante nega l'accesso civico generalizzato a documenti relativi a procedimenti disciplinari, ritenendo che la loro ostensione comporterebbe un'interferenza ingiustificata e sproporzionata nei diritti e libertà dei controinteressati, in violazione della normativa sulla protezione dei dati personali. Il Garante chiarisce inoltre che la valutazione dell'interesse qualificato ai fini dell'accesso documentale ex lege 241/1990 resta di competenza dell'amministrazione adita e non del Garante. Nega altresì la possibilità di un accesso civico parziale con oscuramento dei dati, poiché inidoneo a impedire la re-identificazione dei soggetti interessati. AI
26/02/2026
Formez PA
Il Garante rileva l'illiceità del trattamento effettuato da Formez PA per la pubblicazione online di dati personali (nome e cognome) di oltre trecento candidati ammessi alla prova scritta di un concorso pubblico del Ministero dell'economia e delle finanze, in violazione dell'art. 28 par. 3 del Regolamento GDPR. La diffusione è avvenuta in un'area accessibile a chiunque anziché tramite accesso selettivo riservato ai soli candidati con credenziali personali. Non sono adottate misure correttive poiché Formez PA ha già provveduto a rimuovere gli elenchi dal sito web e la piattaforma è stata dismessa. AI
26/02/2026
Formez PA
Il Garante dichiara illecito il trattamento di dati personali effettuato da Formez PA quale responsabile esterno incaricato dal Ministero delle Imprese e del Made in Italy per la pubblicazione online della graduatoria di un concorso pubblico. La violazione consiste nella diffusione in area accessibile al pubblico di dati eccedenti rispetto alle finalità di trasparenza, inclusi codice fiscale, dettagli punteggi e informazioni su preferenze/precedenze. Sebbene la condotta abbia esaurito i suoi effetti e la graduatoria attualmente reperibile online contenga solo nome, cognome e punteggio totale, il Garante conferma l'illiceità del trattamento e dispone la pubblicazione del provvedimento e l'annotazione nel registro interno. AI
26/02/2026
Conservatorio XX di XX
Il Garante ha accertato l'illiceità del trattamento attuato dal Conservatorio mediante diffusione a oltre cento dipendenti di una comunicazione e-mail contenente informazioni relative alla destituzione e all'interdizione dai pubblici uffici della ricorrente. La comunicazione è stata trasmessa in assenza di idonea base giuridica, violando i principi di liceità, correttezza e trasparenza. È stata irrogata una sanzione amministrativa pecuniaria di euro 5.000,00. AI
26/02/2026
Ministero delle Imprese e del Made in Italy
Il Garante sanziona il MIMIT per aver pubblicato online, tramite Formez PA, la graduatoria di un concorso pubblico contenente dati personali eccedenti e non necessari, inclusi codici fiscali e informazioni idonee a rivelare dati sensibili di 133 partecipanti, per circa un anno. Il trattamento ha violato i principi di necessarietà e liceità, nonché il diritto di accesso ai dati. La sanzione ammonta a 15.000 euro, con obbligo di pubblicazione sul sito del Garante. AI
26/02/2026
Ministero dell'Economia e delle Finanze
Il Garante ha sanzionato il Ministero dell'Economia e delle Finanze per la pubblicazione online dei nominativi di circa 300 candidati ammessi alle prove scritte di una procedura concorsuale, violando i principi di liceità e base legale del trattamento dati. Sebbene il Ministero abbia tempestivamente rimosso i dati e cooperato con l'Autorità, la violazione è stata accertata con sanzione di 12.000 euro. AI
26/02/2026
Ufficio del Difensore civico della Regione Piemonte
Il Garante valuta la richiesta di accesso civico generalizzato a una proposta di risarcimento stragiudiziale presentata a un ente pubblico. Pur concordando che le informazioni riferite all'ente e alla società non costituiscono dati personali, rileva che il documento contiene dati riguardanti condanne penali e reati, e che gli avvocati difensori sono controinteressati non coinvolti nel procedimento. Conclude che non emergono elementi per discostarsi dal provvedimento di diniego, pur suggerendo una riarticolazione della motivazione. AI
26/02/2026
Ministero del Lavoro e delle Politiche Sociali
Il Garante ha accertato violazioni dei principi di minimizzazione dei dati e di privacy by design nel trattamento delle comunicazioni obbligatorie a fini statistici. Il Ministero conservava dati identificativi in chiaro nel repository XML, comprese categorie protette ex lege 68, senza adeguate misure di pseudonimizzazione. Qualificata come violazione minore, è stata irrogata un'ammonizione con prescrizione di completare la pseudonimizzazione secondaria e implementare controlli automatizzati per le singolarità entro 120 giorni. AI
20/02/2026
Agenzia delle dogane e dei monopoli - ADM
Il Garante sostiene il rifiuto dell'amministrazione di accesso civico generalizzato a dati e documenti relativi a un imprenditore agricolo riguardanti procedure sulla produzione di energia elettrica e adempimenti fiscali. Le informazioni richieste costituiscono dati personali idonei a rivelare la posizione fiscale e la capacità reddituale del soggetto controinteressato, la cui diffusione comporterebbe un pregiudizio concreto e sproporzionato alla riservatezza in violazione del principio di minimizzazione dei dati del GDPR. Non è possibile neanche un accesso civico parziale mediante oscuramento, poiché il soggetto richiedente potrebbe facilmente re-identificare l'interessato. AI
12/02/2026
Azienda Sanitaria Locale Verbanio Cusio Ossola
L'ASL ha comunicato a un creditore procedente l'informazione che un dipendente, a seguito di mobilità, prestava servizio presso un'altra amministrazione, allo scopo di agevolare il recupero di debiti tributari del dipendente stesso. Il Garante ha ritenuto tale comunicazione illecita per mancanza di base giuridica e violazione dei principi di liceità, correttezza e trasparenza, emettendo un ammonimento. AI
12/02/2026
Comune di Coccaglio
Il Garante ha accertato l'illiceità del trattamento di dati personali effettuato mediante videosorveglianza nei luoghi di lavoro senza le necessarie autorizzazioni sindacali, informative e valutazione d'impatto. Il Comune ha violato gli artt. 5, 6, 12, 13, 35, 88 del GDPR e l'art. 4 della legge 300/1970 utilizzando i filmati anche a fini disciplinari. È stata irrogata una sanzione di 6.000 euro, ridotta rispetto al massimo edittale in considerazione della cooperazione e della disattivazione immediata del sistema. AI
12/02/2026
Dipartimento per la trasformazione digitale della Presidenza del Consiglio dei Ministri
Il Garante esprime parere favorevole sullo schema di decreto che disciplina le modalità di funzionamento della Piattaforma di gestione deleghe, purché vengano rispettate specifiche garanzie in materia di protezione dei dati personali. Lo schema prevede un sistema di deleghe per l'accesso ai servizi digitali della pubblica amministrazione con limitazioni relative a deleghe professionali e servizi destinati a professionisti. Il Garante si riserva di valutare ulteriormente i trattamenti concreti una volta che la Piattaforma sarà operativa. AI
12/02/2026
Ordine dei Medici Chirurghi e degli Odontoiatri della Provincia di Macerata
L'Ordine professionale ha comunicato illegittimamente dati personali di un medico sospeso per mancata vaccinazione anti-SARS-CoV-2 a numerose amministrazioni pubbliche, in assenza di base giuridica e violando i principi di liceità, correttezza e trasparenza. Sebbene la condotta sia stata valutata come colposa e commessa in buona fede durante l'emergenza pandemica, il Garante ha accertato la violazione degli artt. 5, 6 e richiamati e ha irrogato una sanzione di 4.000 euro, ritenuta effettiva, proporzionata e dissuasiva alle circostanze. AI
12/02/2026
Comune di Tires
Il Garante ha accertato che il Comune di Tires ha violato il principio di minimizzazione dei dati (art. 5, par. 1, lett. c, RGPD) pubblicando online il nominativo di un cittadino che aveva presentato opposizione a deliberazioni comunali. Pur riconoscendo la fattispecie come violazione minore e considerando che il Comune ha prontamente rimosso i dati, il Garante ha disposto un ammonimento anziché una sanzione pecuniaria. AI
12/02/2026
Comune di Serravalle Sesia
Il Garante esamina una richiesta di accesso civico a documenti relativi all'affidamento diretto di un servizio comunale. Il Comune aveva rifiutato l'accesso alla documentazione attestante il possesso dei requisiti dell'operatore, invocando la presenza di dati personali sensibili e segreti commerciali. Il Garante invita il Comune a rivalutare la richiesta fornendo motivazione congrua e valutando la possibilità di concedere accesso parziale con oscuramento dei dati personali non necessari, pur confermando il possibile diniego per i dati giudiziari contenuti nel casellario. AI
06/02/2026
Consiglio della Provincia autonoma di Trento
Il Garante esprime parere favorevole al diniego parziale dell'accesso civico opposto dal Consiglio della Provincia autonoma di Trento, confermando la legittimità dell'oscuramento di dati personali dei candidati non selezionati dal verbale della Commissione consiliare. L'Autorità riconosce che la trasmissione del verbale, previa selezione delle informazioni necessarie e proporzionate, consente di soddisfare le esigenze conoscitive del richiedente pur tutelando la protezione dei dati personali secondo i principi di limitazione della finalità e minimizzazione dei dati. AI
29/01/2026
Agenzia per l'Italia digitale (AgID)
Il Garante esprime parere favorevole sullo schema di Linee Guida AgID sull'accessibilità dei servizi in attuazione dell'art. 21 d.lgs. n. 82 del 2022. Il Garante ha già fornito indicazioni durante le interlocuzioni informali per rendere i trattamenti conformi ai principi di privacy by design e privacy by default, in particolare in merito alla protezione dei dati delle persone con disabilità e alla gestione della piattaforma di vigilanza con adeguate misure di sicurezza. AI
29/01/2026
Comune di Mirabella Eclano
Il Garante ammonisce il Comune di Mirabella Eclano per aver diffuso online dati personali (nominativo e codice fiscale) in delibere di giunta e verbali di conciliazione senza adottare misure di minimizzazione, e per aver risposto tardivamente a una richiesta di esercizio dei diritti oltre il termine di 30 giorni previsto dal RGPD. Il provvedimento tiene conto della natura colposa della violazione, delle ridotte dimensioni dell'ente e delle misure correttive già adottate. AI
29/01/2026
Ministero della cultura - Responsabile della prevenzione della corruzione e della trasparenza
Il Garante esamina il rifiuto di accesso civico al curriculum di un professionista incaricato in una procedura di appalto. Rileva che l'amministrazione ha fornito motivazione generica senza dimostrare il pregiudizio concreto alla protezione dei dati personali. Invita a rivalutare la richiesta considerando un accesso civico parziale con oscuramento dei dati non necessari, tenendo conto del regime di trasparenza applicabile a figure analoghe. AI
29/01/2026
Ministero della Cultura - Direzione Regionale Musei Nazionale Molise
Il Garante accerta l'illiceità del trattamento di dati personali mediante videosorveglianza presso il Museo Archeologico Nazionale di Campobasso per violazione dei principi di liceità, correttezza e trasparenza, mancanza di base giuridica e omissione della DPIA. Infligge sanzione pecuniaria di euro 12.000 e dispone la pubblicazione dell'ordinanza sul sito web dell'Autorità. AI
23/01/2026
Azienda USL di Bologna
Il Garante nega l'accesso civico generalizzato alle schede di valutazione, punteggi, giudizi e relazioni sulla performance di un dirigente. L'ostensione dei documenti comporterebbe un pregiudizio concreto alla protezione dei dati personali e una violazione del principio di minimizzazione dei dati, interferendo ingiustificatamente nei diritti del controinteressato. L'anonimizzazione mediante oscuramento dei dati identificativi non è idonea, in quanto consentirebbe comunque la re-identificazione in base al contesto e alle informazioni di dettaglio. AI
16/01/2026
Istituto Comprensivo Statale Alghero 2
Il Garante ha accertato la violazione degli artt. 5, 6 e 9 GDPR e dell'art. 2-ter del Codice Privacy per la divulgazione non autorizzata di dati sanitari di una docente a una collega mediante una nota di riscontro unificata a due reclami sindacali distinti. L'Istituto ha commesso un errore di valutazione in buona fede nel consolidare le risposte ai due reclami senza separare adeguatamente i dati personali e sensibili degli interessati. Il Garante ha qualificato la violazione come minore, considerando il carattere episodico e colposo della condotta, nonché le misure correttive successivamente adottate dall'Istituto. AI
Ricevi ogni provvedimento via email
Un'email per ogni nuovo provvedimento pubblicato — niente di più, cancellazione in un click.