Pubblica Amministrazione
86 provvedimenti — 27 sanzioni, 41 pareri, 18 altro
03/09/2026
Istituto Nazionale di Ricerca Metrologica - INRIM
Il Garante accerta violazioni degli artt. 5, 6, 12, 13, 35 e 88 GDPR in riferimento a un impianto di videosorveglianza attivato in fase di test senza adeguata trasparenza, base giuridica e DPIA. La sanzione di 10.000 euro è determinata quale importo basso considerate le circostanze attenuanti, con ordine di pubblicazione sul sito istituzionale. AI
03/09/2026
Istituto Comprensivo Sassuolo 1 Centro Est
Il Garante accerta l'illiceità del trattamento di dati personali costituito nell'invio di una comunicazione relativa all'assenza dal servizio di una docente all'indirizzo e-mail aziendale del coniuge anziché della ricorrente, a causa di un errore umano durante il travaso dati tra sistemi gestionali. Pur riconoscendo il carattere isolato e colposo della violazione e le misure preventive adottate dall'Istituto, il Garante ammonisce il titolare per violazione dei principi di liceità, correttezza e trasparenza nonché dell'assenza di idonee misure tecniche e organizzative. AI
03/09/2026
Comune di Desenzano del Garda
Il Garante dichiara l'illiceità del trattamento dati effettuato dal Comune che ha rilasciato una segnalazione riservata di un dipendente a un collega senza adeguata limitazione del contenuto, violando i principi di liceità, correttezza e minimizzazione dei dati. Sebbene il successivo affisso della segnalazione presso i magazzini comunali sia stato compiuto dal collega autonomamente, il Garante considera la decisione del Comune di divulgare il documento integrale non conforme alla normativa. Il Comune viene ammonito per le violazioni accertate, ritenute di carattere isolato e colposo. AI
03/09/2026
Ministero dell'Interno
Il Garante esprime parere favorevole sullo schema di decreto che modifica le modalità tecniche di emissione della carta di identità elettronica, subordinando l'approvazione al recepimento di sette condizioni relative alla protezione dei dati personali e alle garanzie di trasparenza. Le modifiche riguardano la migrazione e centralizzazione dell'infrastruttura CIE presso l'Istituto Poligrafico e Zecca dello Stato con conseguente ridefinizione dei ruoli di titolare e responsabile del trattamento. AI
12/08/2026
Azienda Tutela della Salute Liguria
Il Garante nega l'accesso civico generalizzato a un verbale di conciliazione relativo a causa di lavoro, in quanto il documento contiene dati relativi alla salute rientranti in categorie particolari di dati personali e sottoposti a espresso divieto di diffusione. L'esclusione dell'accesso è diretta dal legislatore e rappresenta un'eccezione assoluta che dispensa l'amministrazione da ulteriori valutazioni di merito. AI
08/08/2026
Ministero della Difesa
Il Garante sostiene il diniego parziale del Ministero della Difesa alle richieste di accesso civico all'Elenco dei portatori di interesse e al Registro degli incontri, ritenendo prevalenti i limiti all'accesso riconducibili alla tutela di interessi pubblici (difesa e questioni militari) e privati (dati commerciali e personali). Il Garante non può sindacare valutazioni organizzative relative alla massività delle richieste né procedere a una valutazione di merito senza coinvolgimento dei controinteressati. AI
08/08/2026
Scuola Superiore della Magistratura
Il Garante invita la SSM a rivalutare la richiesta di accesso civico ai verbali del Comitato direttivo, fornendo motivazione congrua rispetto all'esistenza del limite di cui all'art. 5-bis dlgs 33/2013, privilegiando la trasparenza sulle dichiarazioni e deliberazioni relative a nomine di organi apicali. L'Autorità respinge il diferimento temporalmente indeterminato e invita a un dialogo cooperativo con i richiedenti per ridefinire l'oggetto della richiesta. AI
03/09/2026
Azienda Speciale per la Gestione degli Impianti Sportivi del Comune di Trento (A.S.I.S.)
Il Garante ha accertato l'illiceità del trattamento mediante videosorveglianza all'interno degli spogliatoi della piscina comunale di Trento, operato senza base giuridica e in violazione dei principi di liceità, correttezza, trasparenza e minimizzazione dei dati. L'Azienda ha omesso di fornire adeguata informativa agli interessati e di rispettare i termini di conservazione. È stata comminata una sanzione pecuniaria di 8.000 euro, con pubblicazione dell'ordinanza sul sito del Garante, tenuto conto della disattivazione tempestiva dei dispositivi e della buona cooperazione dimostrata. AI
23/07/2026
Agenzia Regionale per il lavoro dell'Emilia Romagna
Il Garante accerta la pubblicazione online e indicizzazione sui motori di ricerca di una graduatoria contenente i nominativi di circa 700 candidati senza valida base giuridica, violando gli artt. 5, 6 e 9 del GDPR. L'Agenzia Regionale è sanzionata con € 30.000 per aver diffuso dati personali anche di natura particolare in violazione della normativa sulla protezione dei dati, nonostante il perseguimento di finalità di trasparenza amministrativa. AI
10/07/2026
Comune di Battipaglia
Il Garante sostiene il diniego parziale dell'accesso civico generalizzato ai dati dei dipendenti coinvolti negli incentivi del settore tributi, ritenendo che le informazioni richieste in forma disaggregata e a livello individuale comportano alto rischio di re-identificazione. Il Comune potrà comunicare i dati solo attraverso adeguate tecniche di anonimizzazione e aggregazione che evitino la singolarità degli interessati. AI
23/07/2026
Comune di Terralba
Il Garante ha accertato l'illiceità dell'accesso non autorizzato effettuato dal Comune di Terralba al pc e all'account di posta elettronica di un dipendente assente per malattia, in violazione dei principi di liceità, correttezza e trasparenza. Il trattamento è avvenuto senza base giuridica e senza rispetto delle misure di sicurezza adeguate, nonostante l'urgenza amministrativa addotta. È stata comminata una sanzione pecuniaria di euro 8.000,00. AI
23/07/2026
Azienda Ospedaliero-Universitaria di Bologna IRCCS
Il Garante accerta la violazione dei principi di liceità e correttezza del trattamento (artt. 5, 6 GDPR) e del divieto di trattamento di dati sensibili (art. 9 GDPR) per la pubblicazione online, sulla sezione Amministrazione Trasparente del sito aziendale, dell'elenco candidati idonei e non idonei a una procedura selettiva nel pubblico impiego, contenente nominativi di circa 90 partecipanti. L'Azienda ospedaliera è condannata al pagamento di euro 10.000,00 quale sanzione amministrativa pecuniaria, con pubblicazione della presente ordinanza ingiunzione sul sito del Garante. AI
23/07/2026
Ministero dell'Istruzione e del Merito - Ufficio Scolastico Regionale per la Lombardia
Il Garante accerta la violazione dei principi di liceità, correttezza e trasparenza e della base giuridica per il trattamento dei dati relativi a un provvedimento disciplinare di licenziamento, comunicati a una vasta platea di articolazioni amministrative senza idonea fondazione normativa. Applica una sanzione pecuniaria di 10.000 euro, considerando la condotta colposa e la buona cooperazione del titolare. AI
06/08/2026
Istituto Nazionale di Ricerca Metrologica (INRiM)
Il Garante esprime parere su richiesta di accesso civico a documenti relativi a procedura di selezione per componente CDA. Nega l'accesso ai nominativi dei candidati non eletti per protezione dati personali, ma invita l'amministrazione a concedere accesso parziale ai documenti previo oscuramento di tali nominativi, poiché limiti non riguardano l'intera documentazione. AI
06/08/2026
Ministero della salute
Il Garante esprime parere favorevole sullo schema di decreto SIPER che disciplina il trattamento dei dati personali del personale impiegato presso strutture SSN, limitando i dati ai soli dipendenti di strutture pubbliche e private accreditate. Il provvedimento rispetta i principi di liceità, minimizzazione e protezione dalla progettazione, con adeguate misure di sicurezza fisica e logica, tracciatura delle operazioni e procedure di autenticazione. AI
06/08/2026
Ministero del lavoro e delle politiche sociali
Il Garante esprime parere favorevole sullo schema di decreto attuativo dell'art. 7, comma 3, del d.l. 48/2023 in materia di controlli su lavoro e legislazione sociale, subordinatamente al rispetto di sei condizioni specifiche volte a garantire elevati standard di protezione dei dati personali e accessi selettivi alle banche dati dell'INPS. Le condizioni riguardano la circoscrizione degli utenti abilitati, il divieto di duplicazione massiva di dati, la registrazione e la motivazione degli accessi, le verifiche autonome dei soggetti accedenti e la sottoscrizione di due convenzioni distinte con INL e Guardia di finanza. AI
14/07/2026
Comune di Chivasso
Il Garante accerta la violazione dell'art. 13 GDPR da parte del Comune di Chivasso per incompletezza delle informazioni rese ai dipendenti sui tempi di conservazione dei metadati di posta elettronica. Emana un ammonimento anziché sanzione pecuniaria, considerando la natura colposa della violazione, le dimensioni ridotte dell'ente, la cooperazione offerta e la tempestiva correzione adottata. AI
14/07/2026
Istituto Omnicomprensivo Scuola Europea di Brindisi
L'Istituto ha inviato una comunicazione relativa alle elezioni RSU con gli indirizzi email personali dei destinatari in chiaro anziché in copia nascosta, causando la reciproca conoscenza dei dati personali. Pur riconoscendo la violazione dovuta a errore umano, il Garante ha ammonito l'Istituto senza irrogare sanzione pecuniaria, considerato il carattere episodico della violazione e le misure correttive adottate. AI
14/07/2026
Presidenza del Consiglio dei Ministri - Dipartimento per gli affari giuridici e legislativi
Il Garante esprime parere favorevole sullo schema di decreto legislativo di adeguamento al regolamento IA 2024/1689, condizionato all'integrazione di quattro specifiche esigenze normative relative ai poteri del Garante stesso, alla disciplina sanzionatoria, alla responsabilità per la valutazione di conformità e alla partecipazione dello Spazio di sperimentazione per l'IA. È inoltre sottoposta a valutazione l'opportunità di estendere alle decisioni valutative il divieto di decisioni automatizzate in ambito lavorativo. AI
03/07/2026
Comune di San Genesio ed Uniti
Il Garante ha accertato l'illiceità del trattamento di dati personali relativi all'appartenenza sindacale e dati del rappresentante sindacale, effettuato dal Comune in assenza di base giuridica, in violazione degli artt. 5, 6 e 9 GDPR. La comunicazione a un ente destinatario di una procedura di mobilità è stata ritenuta priva di idonea base legale, nonostante il convincimento errato del Comune che il destinatario fosse già informato. È stata comminata una sanzione di 2.000 euro, considerando il carattere episodico della violazione, la natura colposa della condotta e le limitate risorse dell'ente. AI
03/07/2026
ANAC
Il Garante esprime parere favorevole sulla bozza di delibera ANAC che disciplina la pubblicazione dei contributi ricevuti per campagne elettorali, prevedendo l'oscuramento dei nominativi dei donatori persone fisiche nella pubblicazione su web, pur assicurando l'accesso ai dati completi tramite istanza di accesso civico generalizzato. La soluzione bilancia esigenze di trasparenza amministrativa con protezione dei dati personali di natura sensibile (opinioni politiche), nel rispetto dei principi di necessità e minimizzazione. AI
03/07/2026
Comune di Luisago
Il Garante esprime parere negativo sulla richiesta di accesso civico generalizzato ai dati delle autorizzazioni NCC presentata da una società privata. L'accesso è escluso perché la disciplina del Decreto Ministeriale n. 203/2024 subordina l'accesso a specifiche condizioni e limiti, e l'ostensione dei dati comporterebbe pregiudizio concreto alla protezione dei dati personali dei soggetti interessati, alterando il regime di conoscibilità previsto per la banca dati nazionale RENT. AI
03/07/2026
Comune di Buglio in Monte
Il Garante esprime parere negativo sulla richiesta di accesso civico generalizzato a dati relativi alle autorizzazioni NCC, ritenendo che l'ostensione di informazioni come sede operativa, indirizzo PEC e recapiti personali costituirebbe un pregiudizio ingiustificato e sproporzionato alla protezione dei dati personali dei titolari delle autorizzazioni. L'accesso è escluso in quanto la disciplina ministeriale (DM 203/2024) subordina l'accesso a specifiche condizioni e limiti, e la conoscenza generalizzata di tali dati non risulta strumentale al controllo delle funzioni istituzionali o alla partecipazione al dibattito pubblico. AI
03/07/2026
Comune di Tresivio
Il Garante esprime parere negativo sulla richiesta di accesso civico generalizzato alle informazioni relative alle autorizzazioni NCC, escludendo l'accesso ai dati personali come sede operativa, indirizzo PEC e recapiti dei titolari. La conoscenza generalizzata di tali informazioni comporterebbe un'interferenza ingiustificata nei diritti e libertà dei soggetti interessati, in violazione della disciplina sulla protezione dei dati personali, confermando precedenti orientamenti del Garante. AI
03/07/2026
Comune di Teglio - Responsabile della prevenzione della corruzione e della trasparenza
Il Garante esprime parere negativo sulla richiesta di accesso civico generalizzato ai dati delle autorizzazioni NCC presentata da una società privata, ritenendo che la divulgazione comporterebbe un pregiudizio concreto alla protezione dei dati personali dei titolari delle autorizzazioni. L'accesso è escluso in quanto subordinato dalla normativa nazionale a specifici limiti e condizioni, e l'ostensione comporterebbe un'interferenza ingiustificata e sproporzionata nei diritti e nelle libertà dei soggetti controinteressati, in violazione dei principi di limitazione della finalità e minimizzazione dei dati previsti dal RGPD. AI
03/07/2026
Comune di Poggiridenti
Il Garante esprime parere negativo sulla richiesta di accesso civico generalizzato ai dati delle autorizzazioni NCC, ritenendo che l'ostensione delle informazioni richieste (sede legale/operativa, indirizzi PEC, recapiti) comporterebbe un pregiudizio concreto alla protezione dei dati personali dei titolari delle autorizzazioni. L'accesso è escluso poiché la disciplina del Decreto Ministeriale n. 203/2024 subordina l'accesso a specifiche condizioni e limiti, e la pubblicazione altererebbe il regime di conoscibilità previsto dal legislatore nazionale per il RENT. AI
25/06/2026
Comune di Samolaco - Responsabile della prevenzione della corruzione e della trasparenza
Il Garante esprime parere negativo sulla concessione dell'accesso civico generalizzato ai dati relativi alle autorizzazioni NCC richiesti da una società. L'accesso deve essere escluso poiché subordinato da norme specifiche a limiti e condizioni, e la conoscibilità generale comporterebbe un pregiudizio concreto alla protezione dei dati personali dei titolari delle autorizzazioni, in particolare per dati come sede legale, PEC e recapiti professionali di ditte individuali. AI
18/06/2026
SanitaService Asl Le s.r.l. Unipersonale
Il Garante ha accertato la violazione degli artt. 5, par. 1, lett. a), 6 e 9, par. 2, lett. b), del Regolamento (UE) 2016/679, nonché dell'art. 2-ter del Codice della privacy, da parte di SanitaService Asl Le s.r.l. Unipersonale per aver consentito l'affissione in bacheca aziendale di un'email contenente dati personali relativi allo stato di salute di due dipendenti (assenze per motivi di salute), in assenza di base giuridica e non conforme al principio di liceità, correttezza e trasparenza. L'email è rimasta affissa per un periodo compreso tra una settimana e circa un mese. Il coordinatore che ha affisso il documento ha agito di propria iniziativa, non conforme alle procedure aziendali. La condotta è stata qualificata come violazione minore. AI
18/06/2026
Responsabile della prevenzione della corruzione e della trasparenza (RPCT) del Comune di Galbiate
Il Garante esprime parere negativo sulla richiesta di accesso civico generalizzato presentata da una società privata per ottenere l'elenco delle autorizzazioni NCC attive, ritenendo che l'ostensione dei dati personali (sede legale, indirizzi PEC, recapiti) determinerebbe un'interferenza ingiustificata nei diritti dei soggetti controinteressati. Il diniego è motivato dal fatto che tali informazioni non risultano strumentali al controllo delle funzioni istituzionali e rappresentano una sproporzionata duplicazione di dati da un registro nazionale, con rischio di usi impropri incompatibili con le finalità originarie della raccolta. AI
18/06/2026
Ministero dell'Istruzione e del Merito
Il Garante esprime parere favorevole sullo schema di decreto del MIM che disciplina l'erogazione di contributi fino a 1.500 euro per studenti di scuole paritarie con ISEE non superiore a 30.000 euro. Il decreto è conforme ai principi di protezione dei dati personali, in particolare per quanto riguarda la minimizzazione dei dati, i flussi informativi con INPS e ANPR, e la cancellazione immediata dei dati non necessari dopo la verifica. AI
18/06/2026
Comune di Sant'Angelo Lodigiano - Responsabile della prevenzione della corruzione e della trasparenza
Il Garante si pronuncia sulla richiesta di riesame di un diniego di accesso civico relativo a documenti sanitari e personali del genitore del richiedente. Il parere conferma il rifiuto dell'accesso poiché i documenti contengono dati sulla salute soggetti a divieto assoluto di diffusione, e ulteriore documentazione personale comporterebbe pregiudizio concreto alla protezione dei dati personali del controinteressato. AI
18/06/2026
ARERA (Autorità di regolazione per energia reti e ambiente)
Il Garante esprime parere favorevole sullo schema di deliberazione ARERA relativo al riconoscimento del contributo straordinario volontario per clienti domestici non titolari del bonus sociale per gli anni 2026-2027. Il parere è stato formulato dopo interlocuzioni informali che hanno reso conforme il trattamento dei dati personali alla normativa sulla protezione dei dati, garantendo minimizzazione dei dati, limitazione della finalità, non reidentificabilità degli interessati e corretta informazione trasparente ai clienti. AI
11/06/2026
Città Metropolitana di Sassari
Il Garante sanziona la Città Metropolitana di Sassari per violazione dei principi di integrità, riservatezza e responsabilizzazione nella configurazione del protocollo informatico, che ha consentito l'accesso non autorizzato a dati personali delicati afferenti a segnalazioni disciplinari. La violazione ha riguardato tutti i dati transitati sul sistema e si è protratta fino alla riconfigurazione del sistema durante l'istruttoria. AI
11/06/2026
Comune di Piacenza
Il Garante dichiara l'illiceità del trattamento dei dati personali (nomi e condizioni di revisione valutativa) di due dipendenti comunali notificati in unico verbale senza oscuramento, violando i principi di liceità e trasparenza. Nonostante il carattere colposo dell'errore e l'assenza di una base giuridica, il Garante ammonisce il Comune per la violazione, ritenendo sussistente una violazione minore. AI
11/06/2026
Responsabile della prevenzione della corruzione e della trasparenza del Comune di Laion
Il Garante esprime parere negativo sulla istanza di accesso civico generalizzato relativa a documentazione edilizia (progetti, elaborati grafici, planimetrie interne, relazioni illustrative) di una persona fisica. Pur ritenendo che i certificati di destinazione urbanistica e le SCIA non oggetto di opposizione dovrebbero essere accessibili con oscuramento dei dati personali eccedenti, il Garante conferma il rifiuto dell'accesso integrale alla documentazione progettuale e tecnica particolareggiata, poiché fornisce informazioni private sulla proprietà e caratteristiche degli immobili che, considerato il regime di pubblicità dell'accesso civico, determina interferenza ingiustificata e sproporzionata nei diritti del controinteressato e pregiudizio concreto alla protezione dei dati personali. AI
08/06/2026
Responsabile della prevenzione della corruzione e della trasparenza del Comune di Montirone
Il Garante esprime parere negativo sulla richiesta di accesso civico generalizzato formulata da una Società nei confronti del Comune di Montirone per l'elenco delle autorizzazioni NCC attive con indicazione di dati personali quali sede legale, indirizzi PEC e ulteriori recapiti professionali. Il diniego è fondato sulla tutela dei dati personali degli interessati (persone fisiche titolari di ditte individuali) e sulla circostanza che l'accesso risulterebbe subordinato da specifiche normative settoriali (Decreto Ministeriale n. 203/2024) che ne limitano la conoscibilità. AI
08/06/2026
Responsabile della prevenzione della corruzione e della trasparenza del Comune di Castegnato
Il Garante ritiene che l'accesso civico alle informazioni richieste dalla Società riguardanti le autorizzazioni NCC attive rilasciate dal Comune di Castegnato vada escluso in quanto l'accesso è subordinato dalla disciplina vigente al rispetto di specifiche condizioni, modalità e limiti contenuti nel Decreto Ministeriale n. 203/2024. Inoltre, l'ostensione dei dati personali identificativi dei titolari delle autorizzazioni (nominativi, indirizzi, recapiti, sede operativa, PEC) determinerebbe un'interferenza ingiustificata e sproporzionata nei diritti e libertà dei soggetti controinteressati, non essendo strumentale al controllo diffuso sul perseguimento delle funzioni istituzionali e sull'utilizzo delle risorse pubbliche, comportando un concreto pregiudizio alla tutela dei dati personali. AI
08/06/2026
Responsabile della prevenzione della corruzione e della trasparenza (RPCT) del Comune di Laino
Il Garante esprime parere sfavorevole sulla concessione dell'accesso civico generalizzato ai dati personali richiesti dalla Società riguardanti le autorizzazioni NCC, inclusi sede operativa, indirizzo PEC e ulteriori recapiti professionali. Tali dati, in quanto riferiti a ditte individuali identificabili, costituiscono dati personali la cui diffusione comporterebbe un pregiudizio concreto alla tutela della protezione dei dati personali, non compensato da evidenti finalità di controllo democratico. La conoscenza generalizzata di queste informazioni non risulta strumentale al perseguimento delle funzioni istituzionali e non è proporzionata rispetto agli obiettivi dell'accesso civico. AI
28/05/2026
AgID – Agenzia per l'Italia digitale
Il Garante accerta violazioni dell'art. 5 parr. 1 lett. a) e b), e 2, e degli artt. 12, 14 e 25 del GDPR per omesso assolvimento degli obblighi informativi nei confronti dei professionisti relativamente al trasferimento dei domicili digitali dall'INI-PEC all'INAD. Le informazioni adeguate sono state introdotte solo nell'estate del 2025, a due anni dall'avvio dei trattamenti. Iroga sanzione di euro 55.000. AI
28/05/2026
Regione Autonoma della Sardegna
Il Garante dichiara l'illiceità del trattamento effettuato dalla Regione Autonoma della Sardegna per violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento (UE) 2016/679 nonché 2-ter del Codice Privacy. La violazione consiste nella trasmissione non autorizzata di dati relativi al rendimento lavorativo di una dipendente (scheda di valutazione della performance) all'Amministrazione presso cui la stessa aveva da poco preso servizio, mediante trasmissione a un indirizzo PEC istituzionale anziché a quello personale preventivamente indicato. Il Garante ordina il pagamento di una sanzione amministrativa pecuniaria di € 3.000,00, ritenuta effettiva, proporzionata e dissuasiva, e dispone la pubblicazione dell'ordinanza sul sito web del Garante. AI
28/05/2026
Azienda Tutela della Salute per la Liguria
Il Garante ha sanzionato l'Azienda Tutela della Salute per la Liguria per il trattamento illegittimo di dati personali relativi alla geolocalizzazione di veicoli aziendali utilizzati da dipendenti. Il sistema di localizzazione satellitare ha comportato un monitoraggio sostanzialmente continuo dei dipendenti conducenti, con violazioni della proporzionalità del trattamento, mancanza di adeguate valutazioni di impatto, insufficiente informativa agli interessati, e utilizzo dei dati a fini disciplinari. Il Garante ha irrogato una sanzione di euro 6.000,00, considerando il trattamento come violazione di gravità media. AI
28/05/2026
Banca d'Italia
Il Garante esprime parere favorevole sullo schema di Regolamento della Banca d'Italia recante disposizioni sul trattamento dei dati personali effettuato nell'ambito delle attività di supporto all'Arbitro Bancario Finanziario (ABF). Lo schema disciplina il trattamento dei dati per: gestione della documentazione per nomina e rinnovo dei componenti del collegio ABF; gestione dei dati nei procedimenti ABF; analisi della documentazione tramite strumenti di ricerca avanzata e sistemi di IA. Il provvedimento, modificato secondo le osservazioni fornite dall'Ufficio, rispetta i principi di privacy by design e by default, minimizzazione dei dati, limitazione della finalità e trasparenza. Con riferimento ai trattamenti mediante IA, il Garante evidenzia l'importanza di misure quali l'anonimizzazione preventiva, l'autonomia decisionale umana, la supervisione multidisciplinare e il continuo monitoraggio della valutazione d'impatto sulla protezione dei dati. AI
28/05/2026
Responsabile della prevenzione della corruzione e della trasparenza del Comune di Brescia
Il Garante esprime parere negativo sulla concessione dell'accesso civico generalizzato a tutti i dati richiesti da una società privata relativi alle autorizzazioni NCC attive presso il Comune di Brescia. Nello specifico, il Garante ritiene che la comunicazione generalizzata di denominazione/ragione sociale, sede operativa, indirizzi PEC e ulteriori recapiti professionali relativi ai titolari, in particolare per le ditte individuali, comporterebbe un pregiudizio concreto alla tutela dei dati personali. Tale pregiudizio non risulta giustificato dal fine dell'accesso civico, quale promozione del controllo diffuso sulle funzioni istituzionali e sulla partecipazione al dibattito pubblico. Il Garante conferma che i dati relativi a persone giuridiche, società e associazioni non costituiscono dati personali e rimangono soggetti alle altre valutazioni in merito a ulteriori limiti all'accesso previsti dalla normativa. AI
25/05/2026
Responsabile della prevenzione della corruzione e della trasparenza del Comune di Lomazzo
Il Garante esprime parere negativo sulla richiesta di accesso civico generalizzato relativa all'elenco completo delle autorizzazioni NCC attive. La richiesta includeva denominazione, sede operativa, PEC e recapiti dei titolari di autorizzazione. Il Garante rileva che i dati relativi a persone fisiche (ditte individuali) costituiscono dati personali meritevoli di protezione secondo il GDPR. La conoscenza generalizzata di tali informazioni determinerebbe un'interferenza ingiustificata e sproporzionata nei diritti dei soggetti controinteressati, non necessaria al perseguimento dello scopo di controllo pubblico e trasparenza amministrativa. L'accesso potrebbe esporre indebita mente dati personali di dettaglio come domicili e contatti professionali a duplicazione e riutilizzo improprio per finalità incompatibili con quelle di rilascio della licenza. AI
14/05/2026
Università degli Studi di Genova
L'Università ha comunicato dati personali relativi a condanne penali e reati di un ricorrente alla CADA in una memoria difensiva, dichiarando di voler evidenziare la non attendibilità della persona. Il Garante ha ritenuto tale comunicazione esorbitante rispetto all'esigenza di difesa nel procedimento e priva di necessità, in quanto le informazioni non avevano attinenza diretta con i fatti oggetto del ricorso. L'Ateneo è stato ammonito per violazione dei principi di liceità, correttezza e trasparenza e per carenza di base giuridica. AI
14/05/2026
Comune di Mirabella Imbaccari
Il Garante ha sanzionato il Comune di Mirabella Imbaccari per aver pubblicato online, senza idonea base normativa e in violazione del principio di minimizzazione, delibere di giunta contenenti dati personali in chiaro del ricorrente, nonché per la mancata nomina del Responsabile della protezione dei dati con omessa comunicazione dei contatti all'Autorità. AI
14/05/2026
Comune di Reggio Calabria
Il Garante dichiara l'illiceità del trattamento dei dati personali effettuato dal Comune di Reggio Calabria mediante trasmissione di filmati di videosorveglianza all'Ufficio Motorizzazione Civile per procedimenti amministrativi relativi a violazioni del codice della strada, in violazione dei principi di liceità, correttezza e trasparenza e in assenza di base giuridica. Pur riconoscendo la violazione carattere colposo e la complessità giuridica della questione, il Garante ammonisce il Comune. AI
29/04/2026
Lepida S.c.p.A.
Il Garante dichiara l'illiceità dei trattamenti di dati personali effettuati da Lepida S.c.p.A. relativamente alla gestione dell'identità digitale LepidaID per violazione degli artt. 5 par. 1 lett. c), e), f), art. 13 par. 1 lett. a), e artt. 25 e 32 del GDPR. Sono stati accertati: carenze nei principi di integrità e riservatezza; lacune nell'informativa agli interessati; insufficienti misure tecniche e organizzative di sicurezza; accesso eccessivamente ampio agli operatori; problematica gestione dei dati biometrici. Archiviata parzialmente la contestazione relativa al tracciamento delle transazioni. Ordinato il pagamento di € 100.000,00 con pubblicazione dell'ordinanza ingiunzione. AI
29/04/2026
Presidenza del Consiglio dei ministri – Dipartimento della Protezione Civile
Il Garante accerta la violazione degli artt. 5, par. 1, lett. b) e c), e 12, parr. 3 e 4, del Regolamento (UE) 2016/679 commessa dalla Presidenza del Consiglio dei ministri – Dipartimento della Protezione Civile. Il Dipartimento ha pubblicato online per un periodo eccessivo un elenco contenente dati personali comuni (nome, cognome e macroarea) di soggetti tra cui la ricorrente, in violazione dei principi di limitazione della finalità e minimizzazione. Inoltre, ha omesso di fornire tempestivo riscontro all'istanza di esercizio dei diritti presentata dalla ricorrente. Qualificata come violazione minore, è stato irrogato ammonimento. AI
29/04/2026
Consiglio Nazionale dei Periti Industriali e dei Periti Industriali Laureati
Il Garante accerta che il CNPI ha effettuato un trattamento di dati personali non conforme al principio di liceità mediante l'attivazione di un sistema di inoltro automatico dei messaggi di posta elettronica dall'indirizzo personale di un ex Consigliere alla casella collettiva dell'Ente. Tale condotta ha violato gli artt. 5, 6, 12, 13 e 14 del GDPR. Per le violazioni accertate il Garante applica una sanzione amministrativa pecuniaria di € 3.000,00 AI
29/04/2026
Ministero della Giustizia
Il Garante dichiara illecito il trattamento dei dati personali effettuato dal Ministero della Giustizia attraverso la diffusione, presso la bacheca della Casa Circondariale Cosenza "Sergio Cosmai" e alle organizzazioni sindacali, di un ordine di servizio contenente informazioni sulla salute di un dipendente (riferimenti alle "condizioni fisiche", alle "esigenze di salute" e all'"alternanza della postura"), in violazione degli articoli 5, paragrafo 1, lettera a), 6 e 9 del GDPR e dell'articolo 2-ter del Codice Privacy. Il trattamento è avvenuto in assenza di una idonea base giuridica e senza rispetto dei principi di liceità, correttezza e trasparenza. Il Garante iroga una sanzione amministrativa pecuniaria di € 12.000,00. AI
23/04/2026
Comune di Trieste
Il Garante esprime parere favorevole alla decisione del Comune di Trieste di accogliere parzialmente l'istanza di accesso civico generalizzato relativa a documenti su sversamenti di liquami fognari, omettendo i nominativi e gli indirizzi di residenza dei proprietari destinatari delle comunicazioni di avvio procedimento. L'omissione è giustificata dal principio di minimizzazione dei dati e dalla tutela della protezione dei dati personali, in quanto la conoscenza generalizzata di tali informazioni personali non è necessaria al raggiungimento dello scopo dell'accesso civico e determina un'interferenza ingiustificata nei diritti dei soggetti controinteressati. AI
17/04/2026
Ministero dell'Interno - Dipartimento della Pubblica Sicurezza - Polizia di Stato
Il Garante dichiara illecito il trattamento di dati personali (assenze per malattia) effettuato dalla Polizia di Stato in relazione a procedimenti disciplinari, per violazione dei principi di liceità, correttezza e trasparenza, nonché per tardivo riscontro alle richieste di esercizio dei diritti degli interessati. Il Ministero è ammonito per le violazioni riscontrate. AI
17/04/2026
Responsabile della prevenzione della corruzione e della trasparenza del Comune di XX
Il Garante analizza una richiesta di accesso civico riguardante documenti relativi alla verifica delle condizioni di eleggibilità e compatibilità degli amministratori comunali, nonché informazioni su debiti verso l'Ente e procedure di incompatibilità. Il Comune ha negato l'accesso in base alla protezione dei dati personali. Il Garante ritiene che le dichiarazioni sostitutive di inconferibilità e l'attestazione del Responsabile Finanziario possano essere rese accessibili con oscuramento dei dati eccedenti, mentre la documentazione relativa a dilazioni, pagamenti e dettagli tributari realizza un'interferenza sproporzionata. Tuttavia, le informazioni riguardanti le date esatte dei pagamenti, l'esistenza di rateizzazioni non mantenute e le regolarizzazioni, qualora rilevanti per la verifica delle condizioni di eleggibilità e compatibilità, non possono essere negate sulla base della protezione dei dati personali di titolari di incarichi politici. AI
17/04/2026
Comune di Cogoleto
Il Garante accerta l'illiceità del trattamento effettuato dal Comune di Cogoleto mediante bodycam indossate da agenti di Polizia Locale, per violazione dei principi di liceità, correttezza e trasparenza, nonché per l'assenza di idoneo presupposto di liceità e omissione della valutazione di impatto sulla protezione dei dati. Pur considerando la condotta colposa, le modeste dimensioni dell'ente e la spontanea interruzione del trattamento, applica una sanzione amministrativa pecuniaria di euro 4.000. AI
26/03/2026
Ministero delle infrastrutture e dei trasporti - Direzione generale per la motorizzazione
Il Garante esprime parere favorevole condizionato sullo schema di decreto che disciplina il Registro elettronico delle Agenzie Telematiche (ReAT), imponendo specifiche condizioni per garantire conformità ai principi di protezione dei dati. Le criticità riguardano la minimizzazione dei dati acquisiti, la definizione delle basi giuridiche, i termini di conservazione e le misure di sicurezza. Il Garante richiede inoltre una valutazione d'impatto in ossequio al principio di responsabilizzazione. AI
26/03/2026
Ministero dell'Istruzione e del Merito
Il Garante esprime parere favorevole allo schema di decreto del MIM che disciplina il funzionamento del servizio digitale «AscoltaMI» per l'erogazione di sostegno psicologico agli studenti. Il provvedimento assicura il rispetto del GDPR attraverso misure tecniche e organizzative appropriate, limitazione della finalità e minimizzazione dei dati, con particolare attenzione alla tutela dei dati sulla salute e alla riservatezza delle comunicazioni psicologiche. AI
26/03/2026
Comune di Cassino
Il Garante ha sanzionato il Comune di Cassino per la diffusione online di dati personali identificativi e reddituali di un soggetto, mantenuti sul sito istituzionale per oltre un anno e mezzo senza base giuridica idonea e in violazione del principio di minimizzazione. Sebbene l'ente abbia successivamente rimosso i dati e collaborato nel procedimento, la violazione è stata ritenuta di gravità media e colposa, derivante dalla convinzione errata di dover pubblicare i documenti per obbligo di trasparenza. AI
26/03/2026
Comune di Vicenza
Il Garante esprime parere favorevole al diniego dell'accesso civico generalizzato opposto dal Comune di Vicenza a una richiesta riguardante rimborsi di spese legali in relazione a un procedimento penale. L'accesso è rifiutato per la presenza di dati personali delicati e giudiziari che determinerebbero un pregiudizio concreto alla protezione dei dati dei controinteressati, in violazione del principio di minimizzazione dei dati del RGPD. AI
26/03/2026
Ordine degli Avvocati di Piacenza
Il Garante ha accertato la violazione dei principi di liceità, correttezza e trasparenza e dell'assenza di base giuridica da parte dell'Ordine degli Avvocati di Piacenza per aver mantenuto pubblicato online oltre il termine di efficacia un provvedimento disciplinare di sospensione a carico di un avvocato. L'Ordine ha mantenuto il nominativo dell'avvocato nell'elenco dei sospesi dal sito web istituzionale, rendendo le informazioni indicizzabili dai motori di ricerca fino a settembre 2024, violando i diritti dell'interessato. AI
26/03/2026
Comune di XX
Il Garante ha accertato la trasmissione illegittima del certificato telematico di malattia di una segretaria comunale alla Prefettura e al segretario generale sostituto in assenza di idonea base giuridica. Pur riconoscendo il carattere isolato dell'errore materiale e le misure correttive adottate dall'ente, ha irrogato una sanzione di 3.000 euro per violazione dei principi di liceità, correttezza e minimizzazione dei dati. AI
26/03/2026
Comune di XX
Il Garante accerta la violazione dei principi di liceità, correttezza, trasparenza e minimizzazione dei dati per la pubblicazione nell'Albo Pretorio online di delibere e determinazioni contenenti dati personali delicati relativi alla salute, stato di gravidanza, maternità e congedo parentale di una dipendente comunale. Sebbene il Comune abbia adottato misure correttive tempestivamente e la violazione presenti carattere colposo, viene inflitta una sanzione di 5.000 euro quale sanzione effettiva, proporzionata e dissuasiva. AI
12/03/2026
INPS - Istituto nazionale previdenza sociale
Il Garante dichiara illeciti i trattamenti dati effettuati dall'INPS nella procedura DSU precompilata dell'ISEE, che hanno consentito la visualizzazione non autorizzata dei dati anagrafici (codice fiscale, cognome, nome, data di nascita) di 47.464 interessati appartenenti a comunità conviventi (strutture di riposo, comunità religiose, contesti di cura e assistenza). La violazione è derivata da malfunzionamento tecnico nella precompilazione dei nuclei familiari basata su convivenze anagrafiche acquisite dall'ANPR. Il Garante applica una sanzione di 40.000 euro per le violazioni di liceità, base giuridica, minimizzazione dei dati e accountability, e dirige un ammonimento per aver consentito l'accesso ai servizi online da parte di minori. È disposta la pubblicazione del provvedimento. AI
12/03/2026
Ministero dell'Interno
Il Garante ha accertato la violazione del principio di trasparenza e degli obblighi di comunicazione del Ministero dell'Interno per aver indicato nel portale della Carta d'Identità Elettronica un recapito non aggiornato del Responsabile della Protezione dei Dati, causando il tardivo riscontro alla richiesta di esercizio del diritto di cancellazione. Il Ministero è stato ammonito per le violazioni degli articoli 5, 12 e 13 GDPR e ha provveduto ad aggiornare l'informativa. AI
06/03/2026
Consiglio nazionale dei dottori commercialisti e degli esperti contabili
Il Garante nega l'accesso civico generalizzato a documenti relativi a procedimenti disciplinari, ritenendo che la loro ostensione comporterebbe un'interferenza ingiustificata e sproporzionata nei diritti e libertà dei controinteressati, in violazione della normativa sulla protezione dei dati personali. Il Garante chiarisce inoltre che la valutazione dell'interesse qualificato ai fini dell'accesso documentale ex lege 241/1990 resta di competenza dell'amministrazione adita e non del Garante. Nega altresì la possibilità di un accesso civico parziale con oscuramento dei dati, poiché inidoneo a impedire la re-identificazione dei soggetti interessati. AI
26/02/2026
Formez PA
Il Garante rileva l'illiceità del trattamento effettuato da Formez PA per la pubblicazione online di dati personali (nome e cognome) di oltre trecento candidati ammessi alla prova scritta di un concorso pubblico del Ministero dell'economia e delle finanze, in violazione dell'art. 28 par. 3 del Regolamento GDPR. La diffusione è avvenuta in un'area accessibile a chiunque anziché tramite accesso selettivo riservato ai soli candidati con credenziali personali. Non sono adottate misure correttive poiché Formez PA ha già provveduto a rimuovere gli elenchi dal sito web e la piattaforma è stata dismessa. AI
26/02/2026
Formez PA
Il Garante dichiara illecito il trattamento di dati personali effettuato da Formez PA quale responsabile esterno incaricato dal Ministero delle Imprese e del Made in Italy per la pubblicazione online della graduatoria di un concorso pubblico. La violazione consiste nella diffusione in area accessibile al pubblico di dati eccedenti rispetto alle finalità di trasparenza, inclusi codice fiscale, dettagli punteggi e informazioni su preferenze/precedenze. Sebbene la condotta abbia esaurito i suoi effetti e la graduatoria attualmente reperibile online contenga solo nome, cognome e punteggio totale, il Garante conferma l'illiceità del trattamento e dispone la pubblicazione del provvedimento e l'annotazione nel registro interno. AI
26/02/2026
Conservatorio XX di XX
Il Garante ha accertato l'illiceità del trattamento attuato dal Conservatorio mediante diffusione a oltre cento dipendenti di una comunicazione e-mail contenente informazioni relative alla destituzione e all'interdizione dai pubblici uffici della ricorrente. La comunicazione è stata trasmessa in assenza di idonea base giuridica, violando i principi di liceità, correttezza e trasparenza. È stata irrogata una sanzione amministrativa pecuniaria di euro 5.000,00. AI
26/02/2026
Ministero delle Imprese e del Made in Italy
Il Garante sanziona il MIMIT per aver pubblicato online, tramite Formez PA, la graduatoria di un concorso pubblico contenente dati personali eccedenti e non necessari, inclusi codici fiscali e informazioni idonee a rivelare dati sensibili di 133 partecipanti, per circa un anno. Il trattamento ha violato i principi di necessarietà e liceità, nonché il diritto di accesso ai dati. La sanzione ammonta a 15.000 euro, con obbligo di pubblicazione sul sito del Garante. AI
26/02/2026
Ministero dell'Economia e delle Finanze
Il Garante ha sanzionato il Ministero dell'Economia e delle Finanze per la pubblicazione online dei nominativi di circa 300 candidati ammessi alle prove scritte di una procedura concorsuale, violando i principi di liceità e base legale del trattamento dati. Sebbene il Ministero abbia tempestivamente rimosso i dati e cooperato con l'Autorità, la violazione è stata accertata con sanzione di 12.000 euro. AI
26/02/2026
Ufficio del Difensore civico della Regione Piemonte
Il Garante valuta la richiesta di accesso civico generalizzato a una proposta di risarcimento stragiudiziale presentata a un ente pubblico. Pur concordando che le informazioni riferite all'ente e alla società non costituiscono dati personali, rileva che il documento contiene dati riguardanti condanne penali e reati, e che gli avvocati difensori sono controinteressati non coinvolti nel procedimento. Conclude che non emergono elementi per discostarsi dal provvedimento di diniego, pur suggerendo una riarticolazione della motivazione. AI
26/02/2026
Ministero del Lavoro e delle Politiche Sociali
Il Garante ha accertato violazioni dei principi di minimizzazione dei dati e di privacy by design nel trattamento delle comunicazioni obbligatorie a fini statistici. Il Ministero conservava dati identificativi in chiaro nel repository XML, comprese categorie protette ex lege 68, senza adeguate misure di pseudonimizzazione. Qualificata come violazione minore, è stata irrogata un'ammonizione con prescrizione di completare la pseudonimizzazione secondaria e implementare controlli automatizzati per le singolarità entro 120 giorni. AI
20/02/2026
Agenzia delle dogane e dei monopoli - ADM
Il Garante sostiene il rifiuto dell'amministrazione di accesso civico generalizzato a dati e documenti relativi a un imprenditore agricolo riguardanti procedure sulla produzione di energia elettrica e adempimenti fiscali. Le informazioni richieste costituiscono dati personali idonei a rivelare la posizione fiscale e la capacità reddituale del soggetto controinteressato, la cui diffusione comporterebbe un pregiudizio concreto e sproporzionato alla riservatezza in violazione del principio di minimizzazione dei dati del GDPR. Non è possibile neanche un accesso civico parziale mediante oscuramento, poiché il soggetto richiedente potrebbe facilmente re-identificare l'interessato. AI
12/02/2026
Azienda Sanitaria Locale Verbanio Cusio Ossola
L'ASL ha comunicato a un creditore procedente l'informazione che un dipendente, a seguito di mobilità, prestava servizio presso un'altra amministrazione, allo scopo di agevolare il recupero di debiti tributari del dipendente stesso. Il Garante ha ritenuto tale comunicazione illecita per mancanza di base giuridica e violazione dei principi di liceità, correttezza e trasparenza, emettendo un ammonimento. AI
12/02/2026
Comune di Coccaglio
Il Garante ha accertato l'illiceità del trattamento di dati personali effettuato mediante videosorveglianza nei luoghi di lavoro senza le necessarie autorizzazioni sindacali, informative e valutazione d'impatto. Il Comune ha violato gli artt. 5, 6, 12, 13, 35, 88 del GDPR e l'art. 4 della legge 300/1970 utilizzando i filmati anche a fini disciplinari. È stata irrogata una sanzione di 6.000 euro, ridotta rispetto al massimo edittale in considerazione della cooperazione e della disattivazione immediata del sistema. AI
12/02/2026
Dipartimento per la trasformazione digitale della Presidenza del Consiglio dei Ministri
Il Garante esprime parere favorevole sullo schema di decreto che disciplina le modalità di funzionamento della Piattaforma di gestione deleghe, purché vengano rispettate specifiche garanzie in materia di protezione dei dati personali. Lo schema prevede un sistema di deleghe per l'accesso ai servizi digitali della pubblica amministrazione con limitazioni relative a deleghe professionali e servizi destinati a professionisti. Il Garante si riserva di valutare ulteriormente i trattamenti concreti una volta che la Piattaforma sarà operativa. AI
12/02/2026
Ordine dei Medici Chirurghi e degli Odontoiatri della Provincia di Macerata
L'Ordine professionale ha comunicato illegittimamente dati personali di un medico sospeso per mancata vaccinazione anti-SARS-CoV-2 a numerose amministrazioni pubbliche, in assenza di base giuridica e violando i principi di liceità, correttezza e trasparenza. Sebbene la condotta sia stata valutata come colposa e commessa in buona fede durante l'emergenza pandemica, il Garante ha accertato la violazione degli artt. 5, 6 e richiamati e ha irrogato una sanzione di 4.000 euro, ritenuta effettiva, proporzionata e dissuasiva alle circostanze. AI
12/02/2026
Comune di Tires
Il Garante ha accertato che il Comune di Tires ha violato il principio di minimizzazione dei dati (art. 5, par. 1, lett. c, RGPD) pubblicando online il nominativo di un cittadino che aveva presentato opposizione a deliberazioni comunali. Pur riconoscendo la fattispecie come violazione minore e considerando che il Comune ha prontamente rimosso i dati, il Garante ha disposto un ammonimento anziché una sanzione pecuniaria. AI
12/02/2026
Comune di Serravalle Sesia
Il Garante esamina una richiesta di accesso civico a documenti relativi all'affidamento diretto di un servizio comunale. Il Comune aveva rifiutato l'accesso alla documentazione attestante il possesso dei requisiti dell'operatore, invocando la presenza di dati personali sensibili e segreti commerciali. Il Garante invita il Comune a rivalutare la richiesta fornendo motivazione congrua e valutando la possibilità di concedere accesso parziale con oscuramento dei dati personali non necessari, pur confermando il possibile diniego per i dati giudiziari contenuti nel casellario. AI
06/02/2026
Consiglio della Provincia autonoma di Trento
Il Garante esprime parere favorevole al diniego parziale dell'accesso civico opposto dal Consiglio della Provincia autonoma di Trento, confermando la legittimità dell'oscuramento di dati personali dei candidati non selezionati dal verbale della Commissione consiliare. L'Autorità riconosce che la trasmissione del verbale, previa selezione delle informazioni necessarie e proporzionate, consente di soddisfare le esigenze conoscitive del richiedente pur tutelando la protezione dei dati personali secondo i principi di limitazione della finalità e minimizzazione dei dati. AI
29/01/2026
Agenzia per l'Italia digitale (AgID)
Il Garante esprime parere favorevole sullo schema di Linee Guida AgID sull'accessibilità dei servizi in attuazione dell'art. 21 d.lgs. n. 82 del 2022. Il Garante ha già fornito indicazioni durante le interlocuzioni informali per rendere i trattamenti conformi ai principi di privacy by design e privacy by default, in particolare in merito alla protezione dei dati delle persone con disabilità e alla gestione della piattaforma di vigilanza con adeguate misure di sicurezza. AI
29/01/2026
Comune di Mirabella Eclano
Il Garante ammonisce il Comune di Mirabella Eclano per aver diffuso online dati personali (nominativo e codice fiscale) in delibere di giunta e verbali di conciliazione senza adottare misure di minimizzazione, e per aver risposto tardivamente a una richiesta di esercizio dei diritti oltre il termine di 30 giorni previsto dal RGPD. Il provvedimento tiene conto della natura colposa della violazione, delle ridotte dimensioni dell'ente e delle misure correttive già adottate. AI
29/01/2026
Ministero della cultura - Responsabile della prevenzione della corruzione e della trasparenza
Il Garante esamina il rifiuto di accesso civico al curriculum di un professionista incaricato in una procedura di appalto. Rileva che l'amministrazione ha fornito motivazione generica senza dimostrare il pregiudizio concreto alla protezione dei dati personali. Invita a rivalutare la richiesta considerando un accesso civico parziale con oscuramento dei dati non necessari, tenendo conto del regime di trasparenza applicabile a figure analoghe. AI
29/01/2026
Ministero della Cultura - Direzione Regionale Musei Nazionale Molise
Il Garante accerta l'illiceità del trattamento di dati personali mediante videosorveglianza presso il Museo Archeologico Nazionale di Campobasso per violazione dei principi di liceità, correttezza e trasparenza, mancanza di base giuridica e omissione della DPIA. Infligge sanzione pecuniaria di euro 12.000 e dispone la pubblicazione dell'ordinanza sul sito web dell'Autorità. AI
23/01/2026
Azienda USL di Bologna
Il Garante nega l'accesso civico generalizzato alle schede di valutazione, punteggi, giudizi e relazioni sulla performance di un dirigente. L'ostensione dei documenti comporterebbe un pregiudizio concreto alla protezione dei dati personali e una violazione del principio di minimizzazione dei dati, interferendo ingiustificatamente nei diritti del controinteressato. L'anonimizzazione mediante oscuramento dei dati identificativi non è idonea, in quanto consentirebbe comunque la re-identificazione in base al contesto e alle informazioni di dettaglio. AI
16/01/2026
Istituto Comprensivo Statale Alghero 2
Il Garante ha accertato la violazione degli artt. 5, 6 e 9 GDPR e dell'art. 2-ter del Codice Privacy per la divulgazione non autorizzata di dati sanitari di una docente a una collega mediante una nota di riscontro unificata a due reclami sindacali distinti. L'Istituto ha commesso un errore di valutazione in buona fede nel consolidare le risposte ai due reclami senza separare adeguatamente i dati personali e sensibili degli interessati. Il Garante ha qualificato la violazione come minore, considerando il carattere episodico e colposo della condotta, nonché le misure correttive successivamente adottate dall'Istituto. AI
Non perderti nessun provvedimento
Un'email il giorno stesso in cui il Garante pubblica una sanzione o un parere, con la sintesi già pronta — niente altro, cancellazione in un click.