I provvedimenti del Garante Privacy del 29 gennaio 2026
Il 29 gennaio 2026 il Garante per la protezione dei dati personali ha pubblicato 15 provvedimenti, di cui 5 sanzioni per un totale di €89.000. La misura più pesante della giornata: Università Telematica e-Campus (€50.000). Argomenti della giornata: pubblica amministrazione, dati sanitari, dpia.
Elenco dei provvedimenti pubblicati
29/01/2026
Federazione Nazionale degli Ordini delle Professioni Infermieristiche
Il Garante dichiara illecita la pubblicazione online dei dati personali dei candidati a concorso pubblico (nomi, cognomi, date di convocazione, elenchi ammessi/non ammessi) sul sito istituzionale della Federazione, con successiva indicizzazione sui motori di ricerca, per violazione degli artt. 5, 6 GDPR e art. 2-ter Codice Privacy. Sebbene la Federazione abbia tempestivamente rimosso i dati dal sito e ottenuto la deindicizzazione, la violazione è accertata in assenza di idoneo presupposto di liceità, indipendentemente dalla tempestività delle contromisure adottate. AI
29/01/2026
Agenzia per l'Italia digitale (AgID)
Il Garante esprime parere favorevole sullo schema di Linee Guida AgID sull'accessibilità dei servizi in attuazione dell'art. 21 d.lgs. n. 82 del 2022. Il Garante ha già fornito indicazioni durante le interlocuzioni informali per rendere i trattamenti conformi ai principi di privacy by design e privacy by default, in particolare in merito alla protezione dei dati delle persone con disabilità e alla gestione della piattaforma di vigilanza con adeguate misure di sicurezza. AI
29/01/2026
Università Telematica e-Campus
Il Garante sanziona e-Campus per aver utilizzato un sistema di riconoscimento facciale biometrico per verificare la frequenza ai corsi di abilitazione all'insegnamento senza base giuridica legittima. L'Ateneo ha violato i principi di liceità, correttezza, trasparenza e i requisiti di base giuridica, nonché omesso la valutazione di impatto sulla protezione dei dati. Condotta colposa motivata da errore di diritto, cessata prima della conclusione dell'istruttoria. AI
29/01/2026
dott. Paolo Montemurro
Il Garante accerta la violazione degli articoli 5 e 9 GDPR e dell'art. 2-septies del Codice Privacy per la diffusione non autorizzata di fotografie relative a un intervento chirurgico su Instagram. Sebbene le immagini fossero state rimosse tempestivamente e il professionista abbia agito con legittimo affidamento in un modello di consenso fornito da AICPE, il Garante riconosce un mancato accertamento effettivo dell'anonimizzazione. È comminata una sanzione di 5.000 euro con prescrizioni correttive entro 90 giorni. AI
29/01/2026
Presidenza del Consiglio dei Ministri – Dipartimento per gli affari giuridici e legislativi
Il Garante esprime parere favorevole sullo schema di decreto recante modalità e tempi di conservazione dei certificati del casellario giudiziale europeo richiesto dai soggetti critici. Il provvedimento disciplina misure tecniche di protezione, perimetri temporali diversificati tra personale in servizio e candidati, e procedure di cancellazione sicura. Pur con riserve sulla carenza parziale della norma legislativa sottostante, il Garante non rileva criticità sulla protezione dei dati personali. AI
29/01/2026
L'Alba società cooperativa sociale
Il Garante ammonisce L'Alba società cooperativa sociale per non aver fornito tempestivo riscontro a un'istanza di accesso ai dati personali entro i termini di legge. La violazione riguarda il mancato rispetto del termine di un mese previsto dall'articolo 12, paragrafo 3 del GDPR, nonostante successivamente la cooperativa abbia comunque fornito le informazioni richieste. AI
29/01/2026
Comune di Mirabella Eclano
Il Garante ammonisce il Comune di Mirabella Eclano per aver diffuso online dati personali (nominativo e codice fiscale) in delibere di giunta e verbali di conciliazione senza adottare misure di minimizzazione, e per aver risposto tardivamente a una richiesta di esercizio dei diritti oltre il termine di 30 giorni previsto dal RGPD. Il provvedimento tiene conto della natura colposa della violazione, delle ridotte dimensioni dell'ente e delle misure correttive già adottate. AI
29/01/2026
Istituto tecnico industriale statale Stanislao Cannizzaro di Catania
L'Istituto ha pubblicato sul sito web istituzionale una circolare contenente nominativi, classi e orari dei GLO di 51 studenti con disabilità, insieme ai nomi degli insegnanti di sostegno. La violazione è stata causata da errore materiale nella comunicazione interna e in un errore tecnico nella gestione del sistema WordPress. Rimosso il contenuto dalla navigazione ma il file PDF è rimasto archiviato e indicizzabile. Il Garante accerta l'illiceità del trattamento e comminata sanzione di euro 10.000, considerando come circostanze attenuanti la breve durata della diffusione, l'assenza di precedenti violazioni, le misure correttive adottate e la cooperazione dell'Istituto. AI
29/01/2026
Ministero della cultura - Responsabile della prevenzione della corruzione e della trasparenza
Il Garante esamina il rifiuto di accesso civico al curriculum di un professionista incaricato in una procedura di appalto. Rileva che l'amministrazione ha fornito motivazione generica senza dimostrare il pregiudizio concreto alla protezione dei dati personali. Invita a rivalutare la richiesta considerando un accesso civico parziale con oscuramento dei dati non necessari, tenendo conto del regime di trasparenza applicabile a figure analoghe. AI
29/01/2026
avvocato XX
Il Garante accerta l'illiceità del trattamento di dati personali costituiti da file audio di intercettazioni telefoniche diffusi da un avvocato a fini di contestazione politica, in violazione dell'articolo 6 GDPR. L'interesse legittimo alla contestazione politica non prevale sulla tutela costituzionale delle comunicazioni telefoniche. L'Autorità ammonisce l'avvocato per la violazione accertata. AI
29/01/2026
Presidenza del Consiglio dei Ministri
Il Garante esprime parere favorevole sullo schema di decreto che modifica il DM 150/2023 relativo ai criteri e modalità di iscrizione degli organismi di mediazione. Le modifiche introducono obblighi di trasparenza sulle fonti di finanziamento e prevedono la gestione del registro mediante piattaforma informatica del Ministero della giustizia nel rispetto dei principi GDPR. Il provvedimento non presenta criticità dal profilo della protezione dei dati, pur evidenziando l'opportunità di specifiche misure tecniche e organizzative di sicurezza. AI
29/01/2026
Provincia della Congregazione dei Fratelli delle Suore Cristiane
Il Garante ha accertato violazioni del GDPR relative a un sistema di videosorveglianza presso l'Istituto San Giuseppe La Salle di Milano, installato dal 2019 senza base giuridica idonea, senza valutazione d'impatto (DPIA) e senza adeguata trasparenza nei confronti degli interessati. La violazione ha riguardato dati personali di minori e lavoratori per un esteso arco temporale. È stata comminata una sanzione di 12.000 euro e disposta la pubblicazione integrale del provvedimento sul sito del Garante. AI
29/01/2026
Ministero della Giustizia
Il Garante esprime parere favorevole sullo schema di decreto direttoriale relativo al trattamento dei dati personali per la tenuta dell'elenco delle strutture residenziali per l'accoglienza e il reinserimento sociale delle persone detenute adulte. La base giuridica è idonea, i dati trattati sono limitati alle finalità istituzionali e sono previste adeguate misure di protezione. È tuttavia richiesta una modifica formale dell'articolo 3 per indicare correttamente il Ministero della Giustizia come titolare del trattamento, anziché il Dipartimento per la giustizia minorile e di comunità. AI
29/01/2026
Ministero della Cultura - Direzione Regionale Musei Nazionale Molise
Il Garante accerta l'illiceità del trattamento di dati personali mediante videosorveglianza presso il Museo Archeologico Nazionale di Campobasso per violazione dei principi di liceità, correttezza e trasparenza, mancanza di base giuridica e omissione della DPIA. Infligge sanzione pecuniaria di euro 12.000 e dispone la pubblicazione dell'ordinanza sul sito web dell'Autorità. AI
29/01/2026
Istituto d'Istruzione superiore statale Enrico Fermi – Leonardo da Vinci
L'Istituto ha comunicato illegittimamente dati personali e dati relativi alla salute del figlio dei ricorrenti ai compagni di classe tramite email sull'invito al PEI e ha inviato a tutti i genitori della classe l'elenco degli alunni con date di nascita, in violazione dei principi di liceità e minimizzazione. Il Garante dichiara illecita la condotta e ammonisce l'Istituto, ritenendo la violazione minore vista la natura dell'errore materiale e le misure correttive adottate. AI