Le sanzioni privacy in Europa, spiegate in italiano
Le decisioni più rilevanti dei garanti privacy degli altri Paesi europei, in una scheda in italiano: chi è stato sanzionato e per cosa, gli articoli del GDPR violati, cosa insegna il caso a chi lavora in Italia e i provvedimenti simili del nostro Garante.
Ultima scheda:
In questa sezione ci sono 109 decisioni di 15 Paesi, per un totale di €1.936.260.902 di sanzioni. La più alta, €824.990.000, è nella scheda Uber (Paesi Bassi): decisioni automatizzate sugli autisti e informativa insufficiente.
Le ultime decisioni
Fnac Darty: tracciamento nell'app senza consenso preventivo
La CNIL ha sanzionato due società del gruppo Fnac Darty, titolari congiunti del trattamento dell'app mobile Fnac, perché leggevano e scrivevano informazioni sui telefoni degli utenti anche dopo il clic su «Continuer sans accepter», cioè senza consenso. Le operazioni servivano a personalizzare i prodotti mostrati e ad addestrare l'algoritmo di raccomandazione. Per la CNIL è stato violato l'articolo 82 della legge francese Informatique et Libertés: un unico tracciante con più finalità, di cui alcune non esentate, richiede il consenso per tutte. La CNIL ha inflitto due sanzioni pecuniarie, calcolate sul fatturato del gruppo, ha ingiunto alle società di dimostrare la conformità con una penalità di mora per ogni giorno di ritardo dopo un mese dalla notifica e ha disposto la pubblicazione della delibera. AI
Xandr: dati di utenti di app di incontri trattati senza base giuridica
L'autorità norvegese per la protezione dei dati ha sanzionato Xandr Inc., società di adtech oggi parte di Microsoft, per il trattamento di dati personali di utenti dell'app Grindr durante il real-time bidding in Norvegia, senza una base giuridica valida. Il trattamento riguardava l'utilizzo dell'app, l'advertising ID e gli indirizzi IP, dati che rivelano l'orientamento sessuale e che rientrano nelle categorie particolari ai sensi dell'articolo 9 GDPR. Xandr si è basata sul consenso raccolto da Grindr, ritenuto non valido ai sensi degli articoli 4(11) e 7 GDPR, senza verificarne autonomamente la validità. L'autorità ha ritenuto la società contitolare del trattamento e le violazioni di elevata gravità, commesse almeno per negligenza. AI
E.E.T.A.A. e ministero: data breach per sistemi obsoleti e sicurezza inadeguata
L'autorità greca di protezione dei dati ha esaminato un ampio data breach che ha coinvolto database con dati identificativi, di contatto, finanziari e sanitari, gestiti tramite i sistemi informatici di E.E.T.A.A. S.A. per conto del Ministero della Coesione Sociale e della Famiglia. L'autorità ha rilevato che il successo dell'attacco era legato all'uso continuato di sistemi informativi obsoleti e a misure di sicurezza inadeguate, nonostante la consapevolezza dei rischi, oltre a carenze nel rispetto dell'articolo 28 GDPR sul rapporto tra titolare e responsabile. Il Ministero, in qualità di titolare, è stato ritenuto conforme agli obblighi di notifica e comunicazione agli interessati. L'autorità ha imposto sanzioni amministrative e ordinato alle parti di stipulare un accordo di trattamento ai sensi dell'articolo 28 GDPR e di attuare integralmente le misure pianificate per rafforzare la sicurezza dei sistemi. AI
Miljödata: sicurezza insufficiente e dati finiti nel dark web dopo un attacco
Il fornitore di servizi IT svedese Miljödata è stato vittima di un attacco informatico nell'agosto 2025, durante il quale dati personali di un gran numero di persone sono stati sottratti e pubblicati nel dark web. Secondo l'autorità, il trattamento è avvenuto in violazione dell'articolo 32, paragrafo 1, del GDPR, perché l'azienda non ha effettuato controlli adeguati sull'installazione di nuovo software e non disponeva di un monitoraggio automatizzato in tempo reale per rilevare intrusioni o attività sospette. L'autorità svedese IMY ha quindi imposto una sanzione amministrativa pecuniaria, ritenendo la società colpevole di negligenza. AI
Uber: decisioni automatizzate sugli autisti e informativa insufficiente
L'autorità olandese di protezione dei dati (AP) ha sanzionato Uber B.V. per aver adottato decisioni interamente automatizzate nei confronti di autisti, disattivandone temporaneamente o definitivamente gli account in caso di sospetti di frode o di recensioni basse. La decisione richiama la violazione del divieto di decisioni basate unicamente sul trattamento automatizzato previsto dall'art. 22 GDPR e la carenza di informazioni sull'automazione e sulla profilazione ai sensi dell'art. 13 GDPR. Il caso è stato avviato da reclami presentati dalla Ligue des droits de l'Homme alla CNIL francese e gestito dall'AP tramite il meccanismo dello sportello unico, perché la sede europea di Uber è nei Paesi Bassi. Uber ha smesso le violazioni contestate e ha impugnato la sanzione; non esiste ancora una decisione giudiziaria definitiva. AI
Google: dati di localizzazione trattati in modo illecito e poco trasparente
La Data Protection Commission irlandese, in qualità di autorità capofila, ha concluso un'indagine d'ufficio avviata nel febbraio 2020 su Google Ireland Limited, in seguito a reclami di organizzazioni europee per la tutela dei consumatori. L'istruttoria ha riguardato il trattamento dei dati di localizzazione tramite le funzioni "Web & App Activity", "Location History" e "Location Accuracy" nel periodo dal 25 maggio 2018 al 4 febbraio 2020. La decisione riscontra violazioni del GDPR relative alla liceità e correttezza del trattamento, agli obblighi di responsabilizzazione, agli obblighi di trasparenza e alla conservazione dei dati di localizzazione. L'autorità ha irrogato sanzioni amministrative pecuniarie e ha ordinato a Google di rendere conforme il trattamento entro sei mesi. AI
Securitas Direct: numero a pagamento per esercitare i diritti privacy
Un'associazione di consumatori ha presentato un reclamo contro Securitas Direct, perché i cartelli di videosorveglianza indirizzavano gli interessati a un numero telefonico a pagamento (902) per esercitare i diritti di accesso e opposizione. L'autorità spagnola (AEPD) ha ritenuto violato l'articolo 12, paragrafo 2, del GDPR, che impone al titolare di facilitare l'esercizio dei diritti degli interessati, e ha irrogato una sanzione amministrativa. È stata inoltre disposta una misura correttiva: sostituire, entro 12 mesi, i cartelli che rinviano al numero 902. La presenza di altri canali gratuiti sul sito web non è stata considerata sufficiente a sanare la violazione. AI
Clinica privata: videosorveglianza in sala operatoria senza base giuridica
Dopo una segnalazione anonima, la DSB ha accertato d'ufficio che una clinica privata trasmetteva in diretta, senza registrazione, le immagini di telecamere installate in quattro sale operatorie, che riprendevano anche i pazienti, su monitor collocati in altri locali della struttura. Secondo la DSB le immagini sono dati relativi alla salute, per i quali l'interesse legittimo (art. 6, par. 1, lett. f GDPR) non è utilizzabile, e la legge del Tirolo sugli istituti di cura non fornisce una base giuridica ai sensi dell'art. 9 GDPR, perché la ripresa in tempo reale non ha finalità di documentazione e l'Ordine dei medici austriaco ne ha escluso la necessità. La clinica non informava inoltre i pazienti, poiché i cartelli generici agli ingressi non bastano e l'esenzione dall'obbligo di informativa prevista dalla legge regionale non si applica a questo trattamento, in violazione dell'art. 5 e dell'art. 13 GDPR. La DSB ha vietato il trattamento con effetto immediato, escludendo l'effetto sospensivo di un eventuale ricorso, e la decisione è definitiva. AI
Caporedattore di una testata: nome di un imputato pubblicato sui social
Il caporedattore di una testata ha pubblicato dai propri profili personali su tre piattaforme social estratti di un provvedimento di un tribunale penale che respingeva una querela privata promossa da un avvocato, ma il nome dell'imputato, oscurato solo nella prima pagina, restava leggibile nel resto del testo. La DSB ha riconosciuto che la pubblicazione aveva finalità giornalistiche e trovava base giuridica nel § 9 della legge austriaca DSG, ma ha ritenuto che rivelare il nome e la qualità di imputato, dati relativi a reati ai sensi dell'art. 10 GDPR, non fosse necessario e violasse il principio di minimizzazione dell'art. 5, par. 1, lett. c) GDPR. Tenendo conto soprattutto del consenso dato dall'interessato solo dopo l'avvio del procedimento, la DSB ha rinunciato alla sanzione pecuniaria e ha inflitto un ammonimento. La decisione non è definitiva, perché al momento della pubblicazione era ancora aperto il termine per impugnarla davanti al Tribunale amministrativo federale. AI
Giovane in servizio civile: foto di pazienti disabili diffuse in chat
Tra il 01.12.2025 e il 19.12.2025 un giovane che prestava servizio civile nel soccorso sanitario di un'organizzazione di assistenza ha fotografato con il proprio smartphone due ospiti in sedia a rotelle di una struttura per persone con bisogni speciali e ha condiviso le immagini con terzi non autorizzati tramite un'applicazione di messaggistica, allo scopo di metterle in ridicolo. La DSB lo ha qualificato come titolare del trattamento, perché aveva agito di propria iniziativa e al di fuori del servizio, e ha ritenuto che le foto rivelassero dati sulla salute trattati senza una finalità legittima, senza base giuridica e senza alcuna eccezione, in violazione degli articoli 5, paragrafo 1, lettere a) e b), 6, paragrafo 1, e 9, paragrafo 2, del GDPR. Ha poi accertato il dolo, almeno nella forma del dolo eventuale, perché il giovane era stato formato e vincolato alla riservatezza. La sanzione pecuniaria è stata contenuta per l'assenza di violazioni precedenti, la collaborazione e il pentimento dimostrato, e la decisione è definitiva. AI
EXTIA: richieste di cancellazione dei dati non gestite
L'autorità francese CNIL ha sanzionato la società EXTIA, attiva nei servizi IT e di ingegneria, a seguito di un'attività ispettiva avviata anche nell'ambito dell'azione coordinata dell'EDPB sul diritto alla cancellazione. Dall'istruttoria è emerso che molte richieste di cancellazione ricevute nel 2024 non erano state trattate o lo erano state in modo insoddisfacente, e che numerosi richiedenti non erano stati informati dell'esito entro i termini previsti. Le violazioni riguardano gli articoli 12 e 17 del GDPR, relativi alla trasparenza e all'esercizio dei diritti degli interessati. La CNIL ha irrogato una sanzione amministrativa pecuniaria, tenendo conto della gravità della violazione dei diritti, del numero di persone coinvolte e della precedente diffida ricevuta dalla società. AI
Hôpital Privé de la Loire: dossier sanitario violato in un attacco informatico
Un attaccante è riuscito ad accedere al Dossier Sanitario Elettronico dell'ospedale, che centralizza i dati di chi è in cura, ottenendo i dati di pazienti e di persone indicate come terze fiduciarie. L'autorità francese CNIL ha riscontrato violazioni dell'articolo 32 del GDPR, per autenticazione non sufficientemente robusta, controllo degli accessi inadeguato e assenza di rilevazione tempestiva delle attività sospette, e dell'articolo 34 del GDPR, perché le persone terze fiduciarie non sono state informate direttamente della violazione. Il comitato ristretto ha disposto una sanzione amministrativa pecuniaria. AI
Health Service Executive: cartelle cliniche cartacee esposte ad accessi non autorizzati
L'autorità irlandese di protezione dei dati ha concluso un'indagine avviata dopo due violazioni di dati personali notificate nel 2023, in cui persone non autorizzate hanno avuto accesso a cartelle cliniche cartacee conservate in due ex ospedali psichiatrici. Il video di alcune intrusioni è stato pubblicato sui social, rendendo visibile la presenza dei fascicoli. L'autorità ha rilevato carenze nelle condizioni fisiche delle strutture di archiviazione e nell'integrità dei documenti, con riferimento agli articoli 5, 32, 33 e 34 del GDPR. Sono state disposte sanzioni amministrative, un ammonimento, ordini di adeguamento e l'obbligo di comunicazione della violazione agli interessati. AI
Direzione di polizia di Vienna: riconoscimento facciale senza base legale
Un manifestante, fermato e fotografato dagli agenti durante un corteo con disordini perché non aveva fornito le proprie generalità, è stato poi identificato dalla Direzione regionale di polizia di Vienna (Landespolizeidirektion Wien), che il 5 aprile 2023 ha confrontato la sua foto con l'archivio centrale dei dati segnaletici tramite un software di riconoscimento facciale; a seguito della corrispondenza è stato indagato, ma il procedimento è stato poi archiviato. La DSB ha applicato le norme della legge austriaca DSG che recepiscono la direttiva (UE) 2016/680 sui trattamenti a fini di polizia, ritenendo che le immagini del volto siano dati biometrici e che il § 39 della legge austriaca DSG richieda, oltre alla stretta necessità, garanzie efficaci previste dalla legge stessa, che la norma della legge austriaca sulla polizia di sicurezza invocata dalla polizia non contiene. Ha quindi accolto il reclamo, accertando che il confronto biometrico era privo di base giuridica e ha violato il diritto alla riservatezza del reclamante (§ 1 della legge austriaca DSG), senza che bastassero le misure organizzative interne dichiarate dalla polizia. La decisione non è definitiva: il 19 agosto 2026 la parte reclamata l'ha impugnata davanti al Tribunale amministrativo federale e il procedimento è ancora pendente. AI
Procura: dati di un'indagine chiusa conservati e comunicati senza base
Una procura aveva condotto un'indagine per un reato in materia di stupefacenti contro il reclamante, chiusa con la rinuncia definitiva all'azione penale il 19 giugno 2017, e ne ha poi comunicato i dati alla Direzione per la protezione dello Stato e i servizi di informazione nell'ambito di un controllo di sicurezza sul reclamante. La DSB ha applicato la disciplina della legge austriaca DSG sui trattamenti a fini di polizia e giustizia e ha osservato che i termini di conservazione previsti dal codice di procedura penale sono termini massimi, che richiedono una valutazione caso per caso. Poiché l'azione penale non poteva più essere riaperta e l'interesse del reclamante alla cancellazione prevaleva, la conservazione era priva di base legale (§§ 37 e 38 della legge austriaca DSG) e quindi era illecita anche la comunicazione, in violazione del diritto alla riservatezza (§ 1 della legge austriaca DSG). La DSB ha accolto il reclamo e ordinato alla procura di cancellare i dati dal fascicolo d'indagine entro quattro settimane, con una decisione adottata in riesame dopo l'impugnazione della procura e ora definitiva. AI
Società per azioni: valutazioni dei responsabili senza accordo aziendale
Una società per azioni con circa 2600 dipendenti in Austria ha sottoposto una persona responsabile di un piccolo team nell'area finanza a un feedback a 360 gradi: 17 persone, oltre all'interessato, l'hanno valutata in 27 categorie sul comportamento di guida, e i risultati sono stati resi accessibili alla sua superiore. Per la DSB questa raccolta sistematica rientra tra le misure che la legge austriaca sull'organizzazione del lavoro, adottata in attuazione dell'art. 88 del GDPR, subordina a un accordo aziendale con la rappresentanza dei lavoratori. In assenza di tale accordo il trattamento non può fondarsi né sul legittimo interesse né sull'esecuzione del contratto (art. 6, par. 1, lett. f e b, GDPR) e viola il diritto alla riservatezza previsto dal § 1 della legge austriaca DSG. La DSB ha accolto il reclamo e ha vietato con effetto immediato il trattamento per tutti i dipendenti che non sono dirigenti apicali, fino alla conclusione di un accordo aziendale valido; la decisione è definitiva. AI
Dipendente di un operatore telefonico: rivelato il numero di una cliente
Un dipendente di un operatore di telecomunicazioni, senza alcun incarico di servizio e contro le istruzioni aziendali, ha usato uno strumento interno che consentiva di consultare i dati dei clienti senza la loro password e ha comunicato per telefono il nuovo numero di una cliente a un conoscente, l'ex compagno dal quale la donna aveva cambiato numero per non ricevere più le sue chiamate e che ha poi ripreso a telefonarle ripetutamente. La DSB lo ha considerato titolare del trattamento, perché aveva agito di propria iniziativa, e ha accertato un trattamento privo di base giuridica e di finalità legittima, in violazione dell'art. 5, par. 1, lett. a) e b), e dell'art. 6, par. 1, del GDPR, escludendo che la semplice disponibilità verso un conoscente potesse fondare un legittimo interesse. Con il provvedimento sanzionatorio del 27 gennaio 2026 la DSB ha inflitto una sanzione pecuniaria, valutando come aggravanti l'abuso dell'accesso di servizio e il dolo e come attenuanti l'assenza di precedenti, la collaborazione e la confessione. Dopo il ricorso al Tribunale amministrativo federale, la stessa DSB ha ridotto la sanzione con una decisione preliminare sul ricorso, che è divenuta definitiva. AI
Agenzia di marketing: colloqui con candidati registrati senza informativa
Un'agenzia di marketing digitale preselezionava per conto di aziende clienti i candidati a offerte di lavoro con brevi colloqui telefonici e, tra il 1° agosto 2025 e almeno il 27 novembre 2025, ha registrato integralmente le chiamate a fini di formazione interna, conservando le registrazioni per un tempo indeterminato. I candidati non venivano informati, oppure lo erano solo a registrazione già avviata, e le telefonate si svolgevano a nome dell'azienda cliente, così che il vero titolare del trattamento non era riconoscibile. La DSB ha escluso sia il consenso, tardivo e non libero per lo squilibrio tra candidato e selezionatore, sia il legittimo interesse, accertando la violazione dei principi di liceità, minimizzazione e limitazione della conservazione (art. 5 e 6 GDPR) e degli obblighi di informativa (art. 12 e 13 GDPR), e ha inflitto una sanzione pecuniaria alla società, responsabile anche se l'indicazione di registrare era partita da una dipendente sovraordinata. La decisione non è definitiva perché la società l'ha impugnata davanti al Tribunale amministrativo federale, limitatamente all'importo della sanzione. AI
Azienda tessile: cookie senza banner né informativa nel negozio online
Un utente ha presentato reclamo il 1° aprile 2020, trasmesso dall'autorità di controllo tedesca della Renania Settentrionale-Vestfalia, dopo aver visitato il negozio online di un'azienda tessile, aperto in pochi giorni per vendere mascherine durante la prima ondata di Covid-19: alla visita erano stati installati 14 cookie, senza banner e senza un'informativa privacy accessibile. La DSB ha accolto il reclamo e ha accertato la violazione del principio di trasparenza (art. 5, par. 1, lett. a GDPR) e degli obblighi di informazione (artt. 12 e 13 GDPR), ritenendo per questo illecito il trattamento senza esaminare anche la base giuridica ai sensi dell'art. 6 GDPR. L'autorità non ha imposto misure correttive, perché il sito era stato adeguato poco dopo e oggi non è più raggiungibile. La decisione è definitiva. AI
Studentessa di medicina: video di un paziente ricoverato condiviso in chat
Una studentessa di medicina, impiegata da una società incaricata di fornire personale di sorveglianza ai pazienti in diverse cliniche, era assegnata a un paziente con demenza in un reparto di neurologia. Durante il servizio ha girato con il proprio telefono un video di circa undici secondi che mostrava il paziente in camice ospedaliero nel corridoio mentre gettava a terra un giornale, e lo ha inviato a una compagna di studi tramite un servizio di messaggistica. La DSB l'ha considerata titolare del trattamento e ha ritenuto che il video contenesse dati sulla salute: mancavano una finalità legittima (art. 5, par. 1, lett. b GDPR) e una base giuridica (art. 6, par. 1 in combinato disposto con l'art. 9, par. 2 e art. 5, par. 1, lett. a GDPR), e la violazione era intenzionale. Con un provvedimento sanzionatorio ha inflitto una sanzione pecuniaria al livello più basso della forbice prevista, tenendo conto della confessione, della collaborazione e dell'assenza di precedenti; la decisione è definitiva. AI
Associazione che gestisce un centro terapeutico: accesso incompleto ai dati
Un paziente di un centro per malattie psicosomatiche, gestito da un'associazione, ha chiesto l'accesso ai propri dati ai sensi dell'art. 15 del GDPR. Ha ricevuto un PDF con i dati raccolti e l'elenco dei farmaci, ma gli è stato detto che gli appunti del terapeuta corporeo erano scritti a mano e non trattati elettronicamente, senza ricevere informazioni su finalità, categorie di dati, destinatari e criteri di conservazione. La DSB ha ritenuto che gli appunti manoscritti di un terapeuta siano di regola ordinati per nome o per periodo di trattamento e costituiscano quindi un archivio ai sensi dell'art. 4, punto 6, del GDPR. Ha perciò accertato la violazione dell'art. 15, paragrafo 1, ordinando di fornire entro quattro settimane i dati contenuti negli appunti e le informazioni mancanti; la parte reclamata non aveva risposto alle due richieste dell'autorità e la decisione è definitiva. AI
Cream della Cream e Philipp Plein: marketing dopo l'opposizione
L'IFPDT ha chiuso con decisione del 17 aprile 2026 l'inchiesta formale nei confronti di Cream della Cream Switzerland GmbH e Philipp Plein International AG, avviata dopo più denunce e un primo intervento informale rimasto senza effetto. Le due imprese continuavano a usare per finalità pubblicitarie indirizzi e-mail e numeri di telefono raccolti durante vendite online, nonostante l'opposizione espressa dagli interessati e, in alcuni casi, la conferma della cancellazione dei dati. L'IFPDT ha ordinato di cessare immediatamente il trattamento a fini pubblicitari in caso di opposizione, di cancellare i dati su richiesta e di non trattare ulteriormente i dati di chi ha già esercitato tali diritti, sotto minaccia di sanzioni. La decisione, passata in giudicato alla scadenza del termine di ricorso, riguarda in particolare gli articoli 6, 30 capoverso 2 lettera b e 31 della LPD. AI
Vodafone-Panafon: diritto di accesso alle registrazioni telefoniche non garantito
Un reclamo ha segnalato all’autorità greca che Vodafone-Panafon non aveva garantito il diritto di accesso alle registrazioni delle chiamate, non aveva rispettato il diritto alla limitazione del trattamento e aveva ostacolato la richiesta di accesso con informazioni contraddittorie sulla procedura. L’autorità ha accertato la violazione degli articoli 12, paragrafi 1-4, 15 e 18 del GDPR e ha imposto una sanzione pecuniaria. Ha inoltre ordinato misure per esaminare le richieste in modo tempestivo e corretto, con una formazione più efficace del personale e l’invio della documentazione entro sei mesi. AI
Iqvia Operations France: dati sanitari di pazienti raccolti senza informativa adeguata
La società, che appartiene al gruppo statunitense IQVIA, gestisce due banche dati sanitarie autorizzate dalla CNIL, alimentate da farmacie e da medici, per studi sull'uso dei farmaci e sulle pratiche di cura. La CNIL ha accertato violazioni dell'articolo 66 della legge francese Informatique et Libertés e degli articoli 14 e 25 del GDPR: informazione ai pazienti inesatta o assente, diritto di opposizione non effettivo, studi svolti senza autorizzazione o senza rispetto della metodologia di riferimento, moduli dei software di farmacia che estraevano i dati anche dopo il rifiuto del farmacista. La CNIL ha inflitto una sanzione pecuniaria e ha ingiunto alla società di conformarsi, con una penalità di mora di 10 000 euro al giorno dopo sei mesi. Ha inoltre disposto la pubblicazione della delibera, con anonimizzazione del nome dopo due anni. AI
BLT Baselland Transport: indagine sulle bodycam del personale di bordo
In seguito alle notizie dei media sull'uso di bodycam da parte del personale di bordo della BLT Baselland Transport AG, l'IFPDT ha avviato un'indagine ai sensi dell'articolo 49 e seguenti della legge federale sulla protezione dei dati. L'Incaricato ha ritenuto che vi fossero indizi sufficienti di una possibile violazione delle norme sulla protezione dei dati. Poiché il trattamento dei dati personali tramite bodycam avviene nell'ambito di una concessione federale per il trasporto di persone, l'azienda è soggetta alla vigilanza dell'IFPDT. Durante il procedimento non saranno fornite ulteriori informazioni. AI
Ufficiale giudiziario: violazione di dati non notificata
Un ufficiale giudiziario ha inviato per errore una comunicazione di pignoramento presso la retribuzione a una persona non autorizzata, con dati come nome, numero PESEL, indirizzo e importo del pignoramento. Il soggetto non ha notificato l'incidente all'autorità di controllo né all'interessato, ritenendo improbabile un rischio per i diritti e le libertà, senza però svolgere alcuna analisi del rischio. L'autorità polacca ha quindi contestato la violazione degli articoli 33 e 34 GDPR e ha ordinato la comunicazione della violazione agli interessati. AI
France Travail: attacco informatico con ingegneria sociale e accessi non limitati
Nel primo trimestre 2024 alcuni hacker hanno violato il sistema informativo di France Travail, sfruttando tecniche di ingegneria sociale per impossessarsi degli account di consulenti CAP EMPLOI. Gli accessi hanno riguardato i dati di tutte le persone registrate negli ultimi vent'anni e dei titolari di un account candidato, inclusi numeri di previdenza sociale, indirizzi e numeri di telefono; i fascicoli completi dei cercatori di lavoro, che possono contenere dati sanitari, non sono stati consultati. Secondo l'autorità francese, le misure tecniche e organizzative non erano adeguate, in violazione dell'articolo 32 del GDPR, in particolare per l'autenticazione debole, la registrazione insufficiente degli eventi e autorizzazioni di accesso troppo ampie. L'autorità ha inflitto una sanzione amministrativa e ha ordinato di giustificare le misure correttive con un calendario preciso, prevedendo una penalità per ogni giorno di ritardo. AI
Free Mobile e Free: dati di abbonati esposti da un attacco informatico
Nell'ottobre 2024 un attaccante ha avuto accesso al sistema informativo delle due società, esponendo dati personali relativi a 24 milioni di contratti di abbonamento, compresi gli IBAN. La CNIL, dopo oltre 2.500 reclami e un'ispezione, ha rilevato violazioni dell'articolo 32 GDPR (autenticazione VPN non sufficientemente robusta e misure di rilevamento dei comportamenti anomali inefficaci), dell'articolo 34 GDPR (email agli interessati priva di informazioni necessarie) e, nel caso di Free Mobile, dell'articolo 5, par. 1, lett. e) GDPR per la mancata cancellazione dei dati degli ex abbonati non più necessari. L'autorità ha irrogato a Free Mobile una sanzione amministrativa pecuniaria e a Free una sanzione di importo inferiore, tenendo conto della capacità finanziaria, del numero di persone coinvolte e della natura dei dati. AI
Sportadmin: misure di sicurezza inadeguate dopo attacco informatico
Dopo un attacco informatico, nel quale un malintenzionato ha avuto accesso a dati di oltre 2,1 milioni di persone e li ha pubblicati nel Darknet, l'autorità svedese (IMY) ha avviato un'istruttoria sulla società, che fornisce servizi digitali di comunicazione e gestione online per società sportive e altre organizzazioni. I dati esposti riguardavano soprattutto minori e giovani e includevano anche dati sanitari sensibili. L'autorità ha rilevato carenze tecniche e organizzative, tra cui la mancata risoluzione tempestiva di debolezze note e l'assenza di sistemi per individuare in tempo reale intrusioni e tentativi di intrusione. Per questo ha ritenuto violato l'articolo 32, paragrafo 1, del GDPR e ha deciso una sanzione amministrativa pecuniaria. AI
Nexpublica France: falle di sicurezza nel software PCRM per l'azione sociale
NEXPUBLICA FRANCE, società che sviluppa il software di gestione delle relazioni con gli utenti PCRM, utilizzato nell'ambito dell'azione sociale dalle case dipartimentali per le persone con disabilità, ha subìto una segnalazione di violazione dei dati da parte dei propri clienti, che potevano accedere a documenti riguardanti terzi. Le verifiche dell'autorità francese hanno rilevato misure tecniche e organizzative insufficienti per proteggere i dati personali trattati dal software, violando l'obbligo di sicurezza del trattamento previsto dall'articolo 32 del GDPR. L'organo sanzionatorio della CNIL ha inflitto la sanzione pecuniaria e ha deciso di rendere pubblica la decisione. AI
Centro medico: mancata notifica di una violazione di dati personali di pazienti
Un centro medico che si occupa tra l'altro di trattamenti per l'infertilità ha inviato per errore di un dipendente la conferma di un bonifico con il nome di un esame genetico a un altro paziente, con nome, cognome, numero di conto, indirizzo e dettagli di una diagnostica prenatale. Il titolare ha ritenuto che l'evento non comportasse rischi per i diritti e le libertà delle persone e non ha notificato la violazione all'autorità, come previsto dall'art. 33 GDPR. L'autorità polacca ha invece ritenuto che l'incidente presentasse un rischio elevato, dato che le informazioni possono rivelare lo stato di salute e far temere discriminazioni, e ha quindi sanzionato il centro per la violazione dell'art. 33 GDPR e rivolto un ammonimento per la mancata comunicazione agli interessati ai sensi dell'art. 34 GDPR. AI
Mobius Solutions: conservazione e uso non autorizzato di dati utenti
La CNIL francese ha sanzionato Mobius Solutions Ltd, ex responsabile del trattamento di Deezer, per aver conservato una copia dei dati di oltre 46 milioni di utenti dopo la fine del rapporto contrattuale. La società ha inoltre copiato e utilizzato quei dati per migliorare i propri servizi senza istruzioni del titolare. Le violazioni riguardano l'art. 28.3.g (cancellazione dei dati a fine contratto), l'art. 29 (rispetto delle istruzioni del titolare) e l'art. 30 (registro delle attività di trattamento). La decisione prevede una sanzione amministrativa pecuniaria, resa pubblica dalla commissione ristretta dell'autorità. AI
Titolare sanitario polacco: presidente nominato anche DPO, conflitto di interessi
Una società polacca che fornisce servizi medici ha notificato nel 2023 un incidente in cui sono stati rilasciati a un paziente documenti appartenenti a un'altra persona. Nel corso del procedimento è emerso che il presidente della società ricopriva anche il ruolo di responsabile della protezione dei dati (DPO), ritenendo che ciò non compromettesse la sua indipendenza. L'autorità polacca ha stabilito che la società ha violato l'articolo 38, paragrafo 6, del GDPR, perché il DPO non può svolgere compiti che diano luogo a un conflitto di interessi. È stata quindi irrogata una sanzione amministrativa. AI
Banca finlandese: vulnerabilità nel login che ha esposto i conti dei clienti
L'autorità finlandese di protezione dei dati ha esaminato una violazione notificata da S-Bank dopo l'introduzione di una nuova funzione di accesso nell'app mobile. Un errore software nel servizio di autenticazione ha consentito di accedere al online banking con le credenziali di altri clienti, e la vulnerabilità è rimasta sfruttabile per più di tre mesi. L'autorità ha ritenuto violati gli articoli 5.1.f, 25.1, 32.1 e 32.2 del GDPR, per carenza di test adeguati prima del rilascio e per risposte insufficienti alle segnalazioni dei clienti. Sono state disposte una sanzione amministrativa e un richiamo. AI
Istituto di credito: sicurezza carente nell'autenticazione forte
Durante un disservizio legato a una modifica tecnica, il servizio di autenticazione forte di Aktia Bank ha associato erroneamente alcune identità, consentendo a circa 350 persone di accedere ai dati personali di altri clienti presso diversi servizi pubblici, fondi di disoccupazione, assicurazioni e strutture sanitarie. L'autorità finlandese ha rilevato carenze nella progettazione, nell'implementazione e nei test della modifica, in violazione dell'articolo 32 del GDPR sulla sicurezza del trattamento, del principio di integrità e riservatezza dell'articolo 5, paragrafo 1, lettera f), e della protezione dei dati fin dalla progettazione e per impostazione predefinita. Sono state disposte una sanzione amministrativa pecuniaria e un ammonimento. Non risultano abusi dei dati. AI
Samaritaine: telecamere nascoste con microfoni nei magazzini aziendali
La società Samaritaine SAS ha installato nell'agosto 2023 telecamere mascherate da rilevatori di fumo, con funzione di registrazione audio, in due magazzini per contrastare i furti. I dipendenti le hanno scoperte e rimosse a settembre 2023; la CNIL è intervenuta dopo un articolo di stampa e una denuncia. L'autorità ha riscontrato la violazione dei principi di liceità e responsabilizzazione (artt. 5-1-a e 5-2 GDPR), di minimizzazione dei dati (art. 5-1-c GDPR) e del coinvolgimento del responsabile della protezione dei dati (art. 38-1 GDPR). Il comitato ristretto ha irrogato una sanzione amministrativa pecuniaria, ricordando che un datore di lavoro può usare telecamere occulte solo in circostanze eccezionali e nel rispetto di un giusto equilibrio tra tutela del patrimonio e riservatezza dei lavoratori. AI
Coop: indagine chiusa su videocamere IA alle casse automatiche
L'IFPDT ha chiuso l'indagine preliminare sulle videocamere di sorveglianza dotate di intelligenza artificiale impiegate da Coop presso le casse automatiche di alcuni punti vendita, in particolare a Losanna, dopo che i media avevano segnalato un software in grado di individuare i clienti che non scansionavano tutti i prodotti. Durante l'indagine sono stati richiesti chiarimenti all'azienda su funzionamento, dati trattati, finalità e trasparenza verso le persone interessate, obblighi previsti dalla legge federale sulla protezione dei dati (LPD). L'IFPDT ha escluso che le videocamere effettuino riconoscimento facciale o analizzino le abitudini d'acquisto, e ha concluso che il trattamento, in questo caso concreto, era conforme alla legge senza rischi maggiori per le persone. Il caso è stato archiviato senza inchiesta formale. AI
Imprenditore della ristorazione: mancata collaborazione con l'autorità
Un'autorità polacca di protezione dei dati ha avviato un procedimento d'ufficio a seguito di un reclamo su presunti trattamenti di dati biometrici da parte di un datore di lavoro, un imprenditore della regione della Slesia. Il titolare non ha fornito spiegazioni né riscontri alle richieste dell'Autorità, né ha risposto nel procedimento sanzionatorio, ostacolando così un esame completo del caso. L'Autorità ha quindi contestato la violazione dell'articolo 58, paragrafo 1, lettere a) ed e), del GDPR, relativo ai poteri di indagine e di accesso alle informazioni, e ha applicato una sanzione amministrativa pecuniaria. AI
Banca ING Bank Śląski: scansione di documenti d'identità senza analisi della finalità
Tra l'aprile 2019 e il settembre 2020 la banca polacca ING Bank Śląski ha acquisito copie digitali (scansioni) dei documenti d'identità di clienti e potenziali clienti, senza verificare che tali operazioni fossero giustificate dagli obblighi antiriciclaggio. L'autorità polacca ha accertato la violazione dei principi di liceità, correttezza e trasparenza, limitazione della finalità e minimizzazione dei dati (art. 5, par. 1, lett. a, b e c, GDPR), oltre all'assenza di una base giuridica adeguata (art. 6, par. 1, GDPR). Secondo la decisione, il trattamento è lecito solo se l'istituto dimostra, con una valutazione individuale del rischio, che la scansione è necessaria per le misure antiriciclaggio. È stata disposta una sanzione amministrativa pecuniaria. AI
McDonald's Polska e 24/7 Communication: dati di dipendenti esposti
L'autorità polacca di protezione dei dati ha sanzionato McDonald's Polska e il suo responsabile del trattamento 24/7 Communication dopo una violazione che ha reso visibili dati personali di dipendenti e franchisee, tra cui nomi, numeri di identificazione e orari di lavoro, a causa di una configurazione errata di un server. Le contestazioni riguardano la mancata analisi del rischio e l'assenza di misure tecniche e organizzative adeguate (artt. 24, 25 e 32 GDPR), la mancata vigilanza sul responsabile e la carenza di un contratto di sub-responsabilità (art. 28 GDPR), e il mancato coinvolgimento del DPO (art. 38 GDPR). Sono state irrogate sanzioni amministrative pecuniarie di importo differenziato per i due soggetti. AI
Centro di assistenza sociale e Comune: ignorato il rischio di attacco ransomware
Un centro di assistenza sociale e il sindaco di Aleksandrów hanno subito un attacco di hacker che ha reso inaccessibili i dati personali, molto dettagliati, di circa 1500 clienti. Dall'istruttoria è emerso che, pur avendo incluso il rischio di ransomware nell'analisi dei rischi, le due istituzioni non hanno adottato misure tecniche e organizzative adeguate, usando anche un sistema operativo non più supportato dal produttore e un backup non protetto dalla cifratura. L'autorità polacca ha contestato violazioni di vari articoli del GDPR, tra cui 5, 24, 25, 28, 32 e 33, e ha irrogato sanzioni amministrative pecuniarie. AI
Ospedale pediatrico universitario di Białystok: misure di sicurezza inadeguate
Un attacco informatico con malware ransomware ha compromesso i sistemi informatici dell'ospedale, bloccando l'accesso e coinvolgendo i dati personali di circa 2000 dipendenti. L'autorità polacca ha rilevato un'analisi dei rischi svolta in modo errato, perché focalizzata sull'organizzazione anziché sulla tutela degli interessati, e non collegata ai trattamenti effettivi. Sono state violate le disposizioni degli articoli 24(1), 25(1) e 32(1,2) del GDPR. L'autorità ha imposto una sanzione amministrativa pecuniaria e un ordine di adeguamento, con l'obbligo di adottare misure tecniche e organizzative appropriate e di verificarne regolarmente l'efficacia entro 60 giorni dalla notifica. AI
Centro sanitario di Pyskowice: mancata analisi dei rischi sui fascicoli
Un medico del centro sanitario non pubblico di Pyskowice, durante una visita domiciliare, ha lasciato in auto documentazione non protetta di otto pazienti, con dati identificativi, codici PESEL e dati sanitari, poi sottratta con l'auto. Il Garante polacco ha rilevato che l'analisi del rischio era incompleta e che le procedure non tenevano conto dei trattamenti svolti con le auto private dei medici, in violazione degli articoli 24(1), 25(1) e 32(1,2) del GDPR. L'autorità ha irrogato una sanzione amministrativa pecuniaria. AI
Vodafone: attivazione di SIM intestate ad altri
Un'autorità greca ha accertato che, presso un punto vendita Vodafone gestito da un franchisee, sono state attivate SIM prepagate a nome di una persona ignara, usando una copia della sua carta d'identità conservata nel sistema di un altro punto vendita. Il franchisee, in qualità di responsabile del trattamento, ha violato le istruzioni del titolare e le misure di sicurezza previste dall'articolo 32 del GDPR. Vodafone, come titolare, è stata sanzionata per carenze nelle misure tecniche e organizzative, nella selezione e supervisione dei responsabili del trattamento (articolo 28), e per aver fornito due volte informazioni inesatte alle Procure, violando il principio di esattezza (articolo 5, par. 1, lettera d). Sono state comminate sanzioni anche ai sensi della normativa nazionale sulla privacy nelle comunicazioni elettroniche, con un ammonimento a rafforzare la procedura di assegnazione dei nuovi numeri. AI
Shein: cookie installati senza consenso e rifiuto non rispettato
A seguito di un'ispezione del sito shein.com nell'agosto 2023, la CNIL francese ha accertato che la società ha installato diversi cookie, in particolare a fini pubblicitari, già all'arrivo degli utenti sul sito, senza consenso. Le informative sono risultate incomplete e il secondo livello informativo non indicava l'identità dei terzi che potevano installare cookie. Anche dopo il clic su "Rifiuta tutti" o la revoca del consenso, nuovi cookie venivano installati e quelli esistenti continuavano a essere letti, in violazione della normativa francese sui cookie (articolo 82 della legge francese sulla protezione dei dati). L'autorità ha applicato una sanzione amministrativa pecuniaria, tenendo conto della violazione di più obblighi e della portata massiva del trattamento. AI
Google: cookie e pubblicità tra le email di Gmail senza consenso
La CNIL francese ha sanzionato Google LLC e Google Ireland Limited a seguito di un reclamo dell'organizzazione noyb, dopo ispezioni svolte nel 2022 e nel 2023 sul servizio Gmail e sulla procedura di creazione dell'account Google. Le società mostravano pubblicità sotto forma di email nelle schede "Promozioni" e "Social" di Gmail senza il consenso degli utenti, in violazione del Codice francese delle poste e delle comunicazioni elettroniche. Durante la creazione dell'account, gli utenti erano indirizzati a scegliere i cookie per la pubblicità personalizzata e non erano chiaramente informati che l'uso dei cookie a fini pubblicitari era condizione per accedere ai servizi, rendendo il consenso raccolto non valido ai sensi della legge francese sulla protezione dei dati. L'autorità ha imposto sanzioni complessive per 325 milioni di euro e ha ordinato di adeguarsi entro sei mesi, con una penalità di 100.000 euro al giorno in caso di ritardo. AI
Add Conti GmbH: denuncia penale per mancata collaborazione
Dopo alcune denunce di persone interessate, l'IFPDT ha avviato il 4 giugno 2025 un'indagine sulla società Add Conti GmbH, attiva nel marketing, chiedendole di rispondere a una serie di domande entro 30 giorni. L'azienda non ha risposto né alla richiesta iniziale né al termine supplementare concesso, violando l'obbligo di collaborazione previsto dalla legge federale sulla protezione dei dati. Il 14 agosto 2025 l'IFPDT ha quindi sporto denuncia penale all'autorità competente. Secondo le segnalazioni, l'azienda raccoglierebbe dati di persone residenti in Germania e li metterebbe a disposizione di imprese tedesche a fini pubblicitari, senza rispondere alle richieste di accesso e cancellazione. AI
Shield of David: trasmessi dati sensibili di un minore senza informare i genitori
Un'associazione per persone con disturbo dello spettro autistico non ha dato seguito al diritto di accesso esercitato dai genitori di un minore, anche per le registrazioni delle videocamere di sorveglianza. Ha inoltre trasmesso a una società dati sensibili del minore, tra cui il programma di intervento, la relazione medica e l'anamnesi sociale completa, senza informare preventivamente i genitori, e ha diffuso a numerosi destinatari una decisione del Tribunale. Il Garante ellenico ha contestato la violazione degli articoli 5, 12, 13, 15, 24 e 31 del GDPR e ha irrogato quattro sanzioni amministrative, per la mancata agevolazione dei diritti, per la trasmissione senza informativa, per la diffusione della decisione giudiziaria e per la mancata cooperazione con l'autorità di controllo. AI
PostFinance: riconoscimento vocale senza consenso esplicito dei clienti
L'IFPDT, l'Incaricato federale della protezione dei dati e della trasparenza svizzero, ha concluso un'inchiesta su PostFinance riguardo all'autenticazione tramite riconoscimento vocale. Le impronte vocali sono dati biometrici degni di particolare protezione ai sensi della legge federale sulla protezione dei dati (LPD). Secondo l'IFPDT il trattamento viola il principio di proporzionalità e il sistema basato sulla sola opzione «Opt-out» non è conforme alla LPD. Con decisione del 16 maggio 2025 l'Incaricato ha ordinato a PostFinance di richiedere il consenso esplicito al momento della creazione delle impronte vocali e di cancellare quelle prive di tale consenso. PostFinance ha presentato ricorso al Tribunale amministrativo federale, quindi la decisione non è ancora definitiva. AI
SL Group: test di sobrietà conservati senza base giuridica
L'autorità svedese IMY ha esaminato due reclami di capitani di nave dipendenti di due società del Gruppo SL, Aktiebolaget Storstockholms Lokaltrafik e Waxholms Ångfartygs AB, sottoposti a test di sobrietà durante il lavoro. Le società hanno raccolto e conservato i risultati dei test per mesi, anche se la conservazione non era necessaria allo scopo dichiarato, a causa di routine interne insufficienti. L'autorità ha accertato la violazione dell'articolo 6 del GDPR, per trattamento senza base giuridica, e dell'articolo 9, per trattamento di dati sensibili relativi alla salute senza che ricorresse alcuna deroga. Ciascuna società è stata sanzionata con una sanzione amministrativa pecuniaria. AI
Equality Ombudsman: modulo web senza adeguata sicurezza
L'Equality Ombudsman (DO), agenzia svedese per la promozione della parità e il contrasto alle discriminazioni, ha notificato una violazione di dati personali: le segnalazioni e i reclami raccolti tramite il modulo web sono finiti, per errore, nelle analisi di utilizzo del sito affidate a un responsabile del trattamento esterno. La misura di sicurezza adottata per impedirlo non ha funzionato come previsto, e l'incidente è durato circa un anno. L'autorità svedese ha accertato la violazione dell'articolo 32 del GDPR per mancanza di misure tecniche e organizzative adeguate, e ha irrogato una sanzione amministrativa pecuniaria. Il DO, dopo aver scoperto il problema, ha chiuso il modulo. AI
Dipartimento per la Protezione Sociale: uso illecito del riconoscimento facciale
L'autorità di controllo irlandese ha concluso un'indagine sul trattamento di modelli biometrici facciali e sull'uso di tecnologie di corrispondenza facciale nella registrazione "SAFE 2" per la Public Services Card. Sono state rilevate violazioni degli articoli 5(1)(a), 6(1) e 9(1) del GDPR per assenza di una base giuridica valida, dell'articolo 5(1)(e) per la conservazione dei dati biometrici, degli articoli 13(1)(c) e 13(2)(a) per informative inadeguate, e degli articoli 35(7)(b) e (c) per una DPIA incompleta. L'autorità ha emesso un ammonimento, sanzioni amministrative complessive e un ordine di cessazione del trattamento entro nove mesi, se non sarà individuata una base giuridica valida. AI
City of Dublin Education and Training Board: sito per borse di studio non sicuro
L'autorità irlandese ha avviato un'istruttoria d'ufficio dopo una violazione di dati notificata dal City of Dublin Education and Training Board, in seguito alla scoperta che il suo webserver conservava dati personali dei richiedenti borse di studio e che vi era presente un malware. L'autorità ha ritenuto violati gli articoli 5(1)(f), 32(1) e 32(2) del GDPR per l'assenza di misure tecniche e organizzative adeguate al rischio e per la mancata valutazione del livello di sicurezza. Sono stati riscontrati anche ritardi nella notifica della violazione all'autorità di controllo (art. 33(1)) e agli interessati (art. 34(1) e 34(4)). Il titolare ha ricevuto un ammonimento, una sanzione amministrativa pecuniaria complessiva e l'ordine di adeguare il trattamento ai requisiti di sicurezza del GDPR. AI
Cembra Money Bank: risposte tardive e standardizzate alle richieste di accesso
L'IFPDT ha chiuso con decisione del 29 gennaio 2025 l'inchiesta avviata contro Cembra Money Bank SA, valutando i termini per il trattamento delle domande d'accesso ai dati personali. Nove delle tredici domande esaminate sono state evase oltre il termine legale di 30 giorni, e tutte con un testo standardizzato che non indicava quali dati personali fossero trattati. L'IFPDT ha quindi invitato la società a informare tutti i richiedenti sui propri dati, e la decisione è divenuta definitiva perché non impugnata entro 30 giorni. AI
Sei siti web: dati dei visitatori condivisi con terzi tramite pixel
L'autorità norvegese per la protezione dei dati ha ispezionato sei siti web che utilizzano tracking pixel, tecnologie che inviano automaticamente a terzi informazioni sulle visite, come le sottopagine consultate o le azioni compiute. Tutti e sei i siti hanno reso disponibili dati personali dei visitatori a terzi senza una base giuridica, in violazione dell'articolo 6 del GDPR, e in alcuni casi i dati condivisi erano di natura sensibile, ai sensi dell'articolo 9. Sono stati inoltre riscontrati difetti negli obblighi di informativa previsti dagli articoli 12 e 13. L'autorità ha irrogato una sanzione amministrativa per uno dei siti, pari a circa 22.000 euro, e ha emesso richiami nei confronti degli altri cinque. AI
Inkasso-Team: pubblicazione online di dati di presunti debitori
L'IFPDT, con decisione del 28 aprile 2025, ha chiuso un'indagine contro un'agenzia svizzera di recupero crediti che pubblicava sul proprio sito web dati personali nominativi di presunti debitori, allo scopo di localizzarli tramite segnalazioni del pubblico e di mettere in guardia terzi. Secondo l'IFPDT la pubblicazione viola i principi di trasparenza e proporzionalità previsti dall'articolo 6 della LPD e non ricade in nessuno dei motivi giustificativi dell'articolo 31 LPD, poiché mancano il consenso degli interessati e un interesse privato o pubblico prevalente. L'autorità ha ordinato di astenersi dalla pubblicazione dei dati e di cancellare quelli già diffusi. La decisione è stata impugnata dinanzi al Tribunale amministrativo federale e non è ancora definitiva. AI
Yliopiston Apteekki: farmacia online, dati di acquisto a Google e Meta
L'autorità finlandese ha esaminato il sito di farmacia online Yliopiston Apteekki, che tra maggio 2018 e settembre 2022 aveva usato cookie e altre tecnologie di tracciamento trasmettendo a Google e Meta dati sulle interazioni con l'e-commerce, compresi quelli su farmaci da prescrizione e da banco, insieme a indirizzi IP e altri dati identificativi. La società ha violato gli articoli 5(1)(f) e 32 del GDPR, in tema di integrità e riservatezza e di sicurezza del trattamento. L'autorità ha inflitto una sanzione amministrativa pecuniaria e un ammonimento; la farmacia ha dichiarato di aver interrotto l'uso delle tecnologie di Google e Meta a settembre 2022, e l'autorità ha fornito indicazioni sugli strumenti di tracciamento ancora in uso. AI
Vodafone: controlli insufficienti su partner e portale clienti
L'autorità federale tedesca ha avviato indagini su Vodafone GmbH e sui suoi partner commerciali, che operano con il marchio dell'azienda, dopo aver ricevuto informazioni esterne al di fuori di qualsiasi reclamo. Sono emerse carenze nella supervisione e nel controllo dei responsabili del trattamento, nei sistemi IT e nel processo di autenticazione del portale clienti, con rischi concreti di uso fraudolento dei dati e di abuso degli eSIM. Le violazioni riguardano in particolare gli obblighi di sicurezza del trattamento e il rapporto con i responsabili, previsti dagli articoli 28 e 32 del GDPR. L'autorità ha imposto sanzioni amministrative pecuniarie per la supervisione insufficiente e per le misure di sicurezza inadeguate, oltre a un ammonimento per le debolezze dei sistemi IT; l'azienda ha dichiarato di aver adottato interventi correttivi. AI
CALOGA: e-mail promozionali senza consenso e conservazione illimitata
L'autorità francese (CNIL) ha sanzionato la società CALOGA, intermediario che acquistava dati di prospect da altri data broker ed editori di concorsi e siti di test prodotto, per usarli nella prospezione commerciale via e-mail per conto di propri clienti. Secondo l'autorità, i moduli usati per raccogliere il consenso erano ingannevoli e il consenso non era quindi libero e inequivocabile, non era possibile revocarlo con un solo clic, e la trasmissione dei dati ai partner era fondata sul legittimo interesse anziché sul consenso. È stata inoltre contestata la conservazione dei dati senza un termine proporzionato, dato che ogni apertura di e-mail prolungava lo stoccaggio. La misura adottata è una sanzione amministrativa pecuniaria. AI
Solocal Marketing Services: prospezione commerciale senza consenso valido
L'autorità francese di protezione dei dati ha sanzionato Solocal Marketing Services, società che inviava messaggi commerciali via SMS ed e-mail utilizzando dati ottenuti da data broker, concorsi a premi e siti di test di prodotti. Il comitato sanzionatorio ha ritenuto che i moduli di raccolta dei data broker, per la loro apparenza ingannevole, non permettessero di ottenere un consenso libero e inequivocabile, come richiesto dal GDPR. La società non è stata inoltre in grado di dimostrare il consenso degli interessati i cui dati le erano stati trasmessi da uno dei suoi principali fornitori, violando l'articolo 7 del GDPR. L'autorità ha disposto una sanzione amministrativa e l'ordine di cessare la prospezione commerciale elettronica in assenza di consenso valido, con una penalità di 10.000 euro al giorno di ritardo dopo nove mesi. AI
Scuola superiore: accesso eccessivo al database studenti da parte di un fornitore
L'autorità slovena di protezione dei dati ha avviato un'ispezione d'ufficio dopo la notifica di una violazione: un fornitore esterno del servizio mensa aveva accesso all'intero database degli studenti, inclusi dati su sussidi e saldi, pur avendo bisogno solo di nome e cognome. Secondo l'autorità, la scuola non ha adottato misure adeguate di protezione dei dati fin dalla progettazione e per impostazione predefinita, come richiesto dall'articolo 25 del GDPR, né una valutazione del rischio adeguata. Il provvedimento adottato è un richiamo nei confronti della scuola e del dirigente scolastico in qualità di responsabile; il tribunale locale ha respinto il ricorso dell'istituto. AI
Società di servizi finanziari: DPO non indipendente e profilazione non documentata
L'autorità polacca per la protezione dei dati ha sanzionato Toyota Bank Polska S.A. per aver collocato il responsabile della protezione dei dati (DPO) in una posizione che non ne garantiva la piena indipendenza, facendolo rispondere a un direttore che gestiva anche i trattamenti. Durante l'ispezione è emerso inoltre che la banca non aveva inserito nel registro delle attività di trattamento né nella valutazione d'impatto la profilazione dei clienti per la valutazione del merito creditizio. Sono state contestate la violazione dell'articolo 38, paragrafo 3, del GDPR e quella degli articoli 30, paragrafo 1, e 35, paragrafi 1 e 7. Le misure disposte sono sanzioni amministrative pecuniarie. AI
Polskie Radio Szczecin: procedure carenti sui dati nei servizi giornalistici
Un'emittente radiofonica polacca ha pubblicato un articolo su una condanna per molestie sessuali, rivelando elementi che hanno reso identificabile la vittima, un minore. L'autorità polacca di protezione dei dati, dopo un'ispezione completa, ha rilevato che il titolare non aveva svolto un'analisi dei rischi per il trattamento legato all'attività editoriale e non rispettava la propria documentazione interna in materia di protezione dei dati. Sono emerse anche carenze nelle misure di sicurezza, tra cui l'assenza di regole chiare per la verifica preventiva del materiale giornalistico contenente dati personali e la mancata cifratura dei dispositivi di memorizzazione usati fuori dall'area di trattamento, oltre a test insufficienti sull'efficacia delle misure. Per la violazione degli articoli 24(1) e 32(1,2) del GDPR, l'autorità ha imposto una sanzione amministrativa e ha ordinato di correggere gli errori organizzativi e tecnici entro 60 giorni. AI
Poste polacche e Ministero del Digitale: dati di cittadini usati per un voto postale
L'autorità polacca di protezione dei dati ha sanzionato Poczta Polska e il Ministro per gli Affari Digitali per l'organizzazione di un voto postale per le elezioni presidenziali del 2020, durante la pandemia da COVID-19. Il Ministro ha messo a disposizione di Poczta Polska i dati del registro PESEL di circa 30 milioni di cittadini senza una base giuridica, e Poczta Polska li ha trattati senza fondamento normativo, in violazione dell'art. 6(3) del GDPR in combinato disposto con l'art. 5(1)(a). I dati sono stati distrutti tra il 15 e il 22 maggio 2020, dopo che le elezioni del 10 maggio 2020 non si sono svolte. Le sanzioni amministrative pecuniarie sono state irrogate a entrambi i soggetti. AI
Commissario capo della Polizia: dati sanitari divulgati in conferenza stampa
Nel 2023 una donna, entrata in contatto con il numero di emergenza 112 e ricoverata dopo aver segnalato difficoltà psicologiche, è stata identificata pubblicamente dai media. Nel corso di una conferenza stampa il Commissario capo della Polizia ha diffuso informazioni sulla sua salute e su altri dati personali, senza alcuna base giuridica, violando gli articoli 6(1) e 9(1) del GDPR. L'autorità polacca ha ritenuto la violazione di particolare gravità e ha inflitto al Commissario capo una sanzione amministrativa pecuniaria. AI
Centro medico di Cracovia: videosorveglianza nascosta in neonatologia
Il Centro Medico di Cracovia ha installato, tra il 1 e il 23 luglio 2023, un sistema di videosorveglianza nel reparto di neonatologia che riprendeva neonati e madri durante attività intime come l'allattamento, senza che né pazienti né personale fossero informati. Il Presidente dell'autorità polacca ha accertato violazioni dell'articolo 6(1), dell'articolo 9(1) in combinato disposto con l'articolo 13(1,2) del GDPR, nonché degli articoli 24(1), 25(1) e 32(1,2), legate alla mancata cifratura delle schede di memoria e a un'analisi del rischio inadeguata. L'autorità ha inflitto sanzioni amministrative per un totale di 262.500 euro. AI
National Bank of Greece: collegamento errato di conti e telefoni in app
Un errore di configurazione introdotto durante un aggiornamento dell'applicazione di home banking del 2020 ha collegato il conto di un cliente al numero di telefono di un altro, con trasferimenti di denaro diretti al conto sbagliato, e ha interessato altri 24 clienti. L'autorità greca ha rilevato violazioni dei principi di esattezza, integrità e riservatezza, dei principi di protezione dei dati fin dalla progettazione e per impostazione predefinita, in combinato disposto con gli articoli 32, 33 e 34 del GDPR, oltre alla violazione del diritto di accesso dei reclamanti. Sono state irrogate due sanzioni amministrative pecuniarie, una per le violazioni di sicurezza e per la protezione dei dati e una per il diritto di accesso. AI
X (ex Twitter): uso dei post per addestrare l'IA Grok
L'IFPDT ha concluso un'indagine preliminare informale sull'uso dei contributi pubblici degli utenti della piattaforma X per addestrare l'intelligenza artificiale Grok, dopo che all'inizio dell'estate 2024 era emerso questo trattamento. L'indagine ha verificato la trasparenza del trattamento e le possibilità di rifiuto offerte agli utenti, secondo la legge federale svizzera sulla protezione dei dati (LPD). Dopo l'introduzione, il 16 luglio 2024, di una opzione di opposizione nelle impostazioni sulla privacy, l'IFPDT ha ritenuto che il trattamento rispettasse i requisiti della LPD. Il comunicato ricorda inoltre che anche gli utenti sono responsabili dell'uso dei propri dati e devono avvalersi delle opzioni di configurazione disponibili. AI
Un fornitore di confronto prestiti: richieste di finanziamento accessibili tramite URL
L'autorità finlandese di protezione dei dati ha avviato un'indagine dopo il reclamo di un cliente e ha accertato gravi carenze di sicurezza nei servizi di confronto prestiti della società. Le richieste di finanziamento erano accessibili a terzi attraverso URL personali, senza adeguate restrizioni, e alcuni di questi link sono stati oggetto di phishing con divulgazione di dati personali. Sono state violate le disposizioni del GDPR sulla sicurezza del trattamento (art. 32), sulla protezione dei dati fin dalla progettazione (art. 25) e sul principio di integrità e riservatezza (art. 5, par. 1, lett. f). L'autorità ha imposto una sanzione amministrativa pecuniaria, l'obbligo di comunicare l'incidente ai clienti e un ammonimento; la società ha dichiarato di aver interrotto l'uso degli URL vulnerabili e migliorato la sicurezza dei servizi. AI
Ente sanitario di Reykjavík: integrazione di cartelle cliniche illecita
L'autorità islandese di protezione dei dati ha avviato un'indagine sull'integrazione dei sistemi di cartelle cliniche da parte dell'ente di assistenza sanitaria primaria dell'area della capitale, a seguito di un reclamo. È emerso che degli accordi stipulati, solo uno rispettava la legge nazionale sulle cartelle cliniche, mentre per l'integrazione con undici soggetti non erano stati ottenuti l'autorizzazione del Ministro della Sanità né la conferma dell'autorità sulla sicurezza del trattamento. Il trattamento è stato quindi ritenuto illecito per violazione degli articoli 5, paragrafo 1, lettera a), 6, paragrafo 1, e 9, paragrafo 1, del GDPR. L'autorità ha imposto una sanzione amministrativa pecuniaria. AI
Azienda di porte blindate: misure di sicurezza inadeguate dopo un ransomware
Un'azienda che vende, tra l'altro, porte blindate ha subito un attacco ransomware che ha reso inaccessibili dati di clienti e dipendenti, tra cui numeri PESEL, documenti d'identità e coordinate bancarie. L'autorità polacca ha rilevato che il titolare non aveva svolto un'analisi del rischio adeguata e non aveva adottato misure tecniche e organizzative idonee, tra cui l'aggiornamento del software. Sono state contestate anche una comunicazione errata agli interessati, la mancata verifica delle garanzie offerte dal responsabile del trattamento e il mancato rispetto del principio di responsabilizzazione. Il titolare è stato sanzionato e destinatario di un ordine di adeguamento; la violazione riguarda gli articoli 5, 24, 25, 28, 32, 33 e 34 del GDPR. AI
Stolica Chorągiew ZHP: laptop smarrito con dati degli iscritti
Un'associazione scout polacca ha subito la perdita di uno zaino contenente un laptop con dati personali di iscritti e collaboratori, tra cui dati sanitari e dati bancari. L'autorità polacca ha accertato che l'analisi dei rischi non considerava il trasporto inadeguato di apparecchiature informatiche e che le misure di cifratura dei dischi dei computer portati all'esterno non erano sufficienti. Sono state rilevate violazioni degli articoli 5, 24, 25 e 32 del GDPR. L'autorità ha disposto una sanzione amministrativa e un ordine di adeguamento, con l'obbligo di implementare idonee misure di protezione dei dati entro tre mesi dalla decisione. AI
Autorità polacca: omessa nomina e pubblicazione del DPO
L'autorità polacca di protezione dei dati ha sanzionato un ispettorato edilizio distrettuale per non aver designato formalmente un responsabile della protezione dei dati (DPO), non aver pubblicato i suoi dati di contatto e non averli comunicati all'autorità di controllo. La designazione era stata fatta solo a voce, senza un atto scritto che la rendesse efficace. Il titolare ha poi nominato la persona e ha pubblicato i contatti sul proprio sito, ma dopo il procedimento. L'autorità ha imposto una sanzione amministrativa e un ordine di adeguamento. AI
Ospedale di contea di Września: mancata notifica di violazione dei dati
Un paziente ha ricevuto le informazioni mediche di un'altra persona, comprensive di nome, data di nascita, numero PESEL e dati sulla salute. L'ospedale, ritenendo basso il rischio, non ha notificato la violazione all'autorità di controllo polacca e ha comunicato l'accaduto all'interessato solo in ritardo. L'autorità ha riscontrato la violazione degli articoli 33 e 34 del GDPR e ha irrogato una sanzione amministrativa pecuniaria, disponendo anche la comunicazione della violazione agli interessati. AI
Comuni e azienda di servizi: chiavetta USB non cifrata smarrita
Durante il passaggio a un nuovo sistema di gestione del personale e delle paghe, dati di dipendenti, ex dipendenti, collaboratori e partecipanti sono stati copiati su una chiavetta USB non cifrata, poi smarrita da un dipendente della società incaricata. L'autorità polacca ha rilevato la mancata analisi del rischio e l'assenza di controlli sulla procedura, contestando la violazione degli artt. 5, 24, 25, 28 e 32 del GDPR. Sono state irrogate sanzioni amministrative ai due enti comunali e alla società fornitrice, con un ordine di conformità. AI
MBank: mancata comunicazione ai clienti di una violazione di dati personali
Una banca polacca ha inviato per errore documenti contenenti dati personali e finanziari di un gruppo di clienti a un altro istituto, e la busta è stata riconsegnata già aperta. La banca non ha informato gli interessati della violazione, né delle possibili conseguenze e dei rimedi, né ha fornito il contatto del responsabile della protezione dei dati, nonostante la richiesta dell'autorità di controllo. L'autorità polacca ha ritenuto violato l'articolo 34 del GDPR, respingendo la tesi che il destinatario fosse un soggetto fidato, e ha disposto una sanzione amministrativa pecuniaria con l'ordine di comunicare la violazione agli interessati. AI
Autorità pubblica: mancata notifica di violazione di dati di una vittima
Durante una conferenza stampa, un rappresentante della Procura nazionale ha divulgato dati personali di una persona riconosciuta come vittima in un procedimento penale, comprese informazioni rientranti nelle categorie particolari di dati. Il titolare non ha notificato la violazione all'autorità di controllo né all'interessato, sostenendo che non si trattasse di un data breach. L'autorità polacca ha ritenuto violati gli articoli 6, 33 e 34 del GDPR e ha irrogato una sanzione amministrativa, ordinando di informare la vittima delle possibili conseguenze della violazione e delle misure adottate per limitarne gli effetti. AI
Netflix: informative privacy poco chiare sull'uso dei dati degli utenti
L'autorità olandese per la protezione dei dati ha avviato l'indagine dopo due reclami presentati dall'associazione austriaca noyb, trasmessi all'autorità dei Paesi Bassi perché Netflix ha lo stabilimento principale in Europa in quel paese. Secondo la decisione, l'informativa sulla privacy non spiegava in modo sufficientemente chiaro cosa l'azienda faccia dei dati personali, e anche le risposte fornite agli utenti che chiedevano quali dati fossero raccolti risultavano incomplete o poco chiare. Sono state rilevate violazioni degli articoli 5, 12, 13 e 15 del GDPR, riguardanti finalità e base giuridica del trattamento, comunicazioni di dati a terzi, tempi di conservazione e garanzie per i trasferimenti verso paesi extra-UE. L'autorità ha imposto a Netflix una sanzione amministrativa pecuniaria. AI
Orange: messaggi pubblicitari non richiesti e cookie dopo revoca consenso
L'autorità francese CNIL ha sanzionato l'operatore di telecomunicazioni Orange per il servizio di posta elettronica "Mail Orange", nel quale comparivano pubblicità in forma di email tra quelle genuine nella casella degli utenti, senza un consenso valido alla prospezione commerciale. Lo stesso provvedimento contesta la lettura di cookie dopo che l'utente aveva revocato il consenso, in violazione dell'art. 82 della legge francese sulla protezione dei dati. Oltre alla sanzione amministrativa pecuniaria, l'autorità ha ordinato di cessare la lettura dei cookie entro tre mesi dalla revoca, con una penalità di 100.000 euro per ogni giorno di ritardo. AI
Concevis: attacco hacker a un fornitore di software della Confederazione
Nel novembre 2023 la società di software Concevis ha subito un attacco hacker, e tra i suoi clienti figurava l'Ufficio federale di statistica (UST). Sia l'UST sia Concevis hanno segnalato il caso all'IFPDT, che ha aperto un'indagine preliminare informale. L'IFPDT ha stabilito che non era necessaria un'inchiesta formale ai sensi dell'articolo 49 LPD, poiché non sono emerse gravi carenze, e che i dati sottratti erano cifrati e difficilmente leggibili da terzi. Sono però emersi aspetti poco chiari nel trattamento dei dati tra UST e Concevis, per cui l'IFPDT ha chiesto che i contratti con i fornitori definiscano con precisione il ciclo di vita dei dati e disciplinino i controlli e gli audit. AI
Posti: casella elettronica attivata automaticamente senza consenso
L'autorità finlandese ha esaminato il trattamento dei dati personali di Posti legato alla creazione di una casella di posta elettronica, attivata automaticamente per i clienti senza una richiesta separata e collegata a un insieme di servizi vincolati in un unico contratto. Sono state contestate violazioni dei principi di liceità (artt. 5 e 6.1 GDPR), carenze nell'informativa ai clienti (art. 13 GDPR) e impostazioni tecniche non conformi, come una funzione di selezione attivata automaticamente e una casella preselezionata. L'autorità ha imposto una sanzione amministrativa pecuniaria, un richiamo per le carenze informative e l'ordine di correggere le pratiche illecite, ricordando la necessità di applicare la protezione dei dati fin dalla progettazione (art. 25 GDPR). AI
Centro sanitario pubblico: mancata analisi dei rischi dopo ransomware
Un attacco hacker con ransomware ha reso inaccessibili i dati di pazienti e dipendenti di un centro sanitario pubblico polacco, senza che ne venisse sottratta copia. L'autorità polacca ha accertato violazioni degli articoli 5, 24, 25, 32 e 34 del GDPR, in particolare per l'assenza di un'analisi dei rischi documentata e per la mancata comunicazione dell'incidente agli interessati. Sono state disposte una sanzione amministrativa, l'adozione di misure tecniche e organizzative entro 30 giorni e l'obbligo di informare gli interessati. AI
Società di ristorazione collettiva: chiavetta USB smarrita con dati non cifrati
Un dipendente della società di catering Res-Gastro M. Gaweł Sp. k., con sede a Kolbuszowa, ha smarrito una chiavetta USB contenente file con dati personali di un altro dipendente, in parte non cifrati, tra cui nome, indirizzo, PESEL, dati del passaporto e informazioni sulle retribuzioni. L'autorità polacca ha rilevato che l'analisi del rischio era stata condotta in modo errato, senza prevedere la perdita del supporto, e che non erano state adottate soluzioni crittografiche strutturate, limitandosi a un video informativo per i dipendenti. La decisione contesta la violazione degli articoli 5, 24, 25 e 32 del GDPR e impone misure organizzative e tecniche per la sicurezza del trattamento. AI
Associazione sportiva polacca: mancata notifica di una violazione di dati
Un'associazione sportiva ha pubblicato su Facebook l'elenco dei partecipanti a una gara, ma nel file erano nascosti indirizzi email e date di nascita visibili dopo la modifica del foglio. L'autorità polacca ha accertato che l'associazione non aveva valutato i rischi per le persone coinvolte, circa un centinaio secondo le prove raccolte, e non aveva notificato l'incidente all'autorità di controllo. Per la violazione dell'articolo 33 del GDPR è stata irrogata una sanzione amministrativa pecuniaria. AI
Partito politico e comitato promotore: liste firme lasciate incustodite in chiesa
Un comitato promotore di un'iniziativa legislativa ha raccolto firme su liste che sono rimaste non custodite in una chiesa, accessibili a chiunque. L'autorità polacca ha accertato violazioni degli articoli 24, 25, 32, 33 e 34 del GDPR, tra cui un'analisi dei rischi incompleta che aveva sottovalutato i rischi per gli interessati e la mancata notifica della violazione. Sono state decise una sanzione amministrativa pecuniaria e un ordine di comunicazione della violazione agli interessati. AI
American Heart of Poland: attacco hacker per carenze nell'analisi del rischio
Un attacco informatico ha permesso l'accesso non autorizzato ai dati personali di circa 21.000 persone, tra pazienti e dipendenti di una società del settore medico, inclusi dati sanitari, numeri di conto bancario e codici PESEL. L'autorità polacca ha rilevato che l'analisi del rischio era solo formale e non valutava correttamente le minacce, che i dati sanitari erano archiviati su unità di rete invece che su un sistema dedicato, che alcuni server non ricevevano più aggiornamenti dal produttore e che la protezione contro il phishing era insufficiente. Sono state violate le norme del GDPR sui principi del trattamento, sulla responsabilità del titolare e sulla sicurezza del trattamento (artt. 5, 24 e 32). L'autorità ha inflitto una sanzione amministrativa e ha ordinato di conformare i trattamenti alle disposizioni del GDPR. AI
Società di recupero crediti: conservazione di dati di debitori oltre i termini
L'autorità di protezione dei dati di Amburgo ha svolto un'indagine di settore sui servizi di recupero crediti, verificando le modalità di conservazione e trattamento dei dati dei debitori. In una delle società controllate, durante un sopralluogo, è emerso che un numero considerevole di registrazioni contenenti dati personali era ancora conservato senza base giuridica, anche a distanza di anni dalla scadenza dei termini di conservazione, in violazione dell'articolo 5, paragrafo 1, lettera a), e dell'articolo 6, paragrafo 1, del GDPR. L'autorità ha irrogato una sanzione pecuniaria, che la società ha accettato, cooperando nel successivo follow-up. AI
Università di Agder: dati accessibili a personale non autorizzato su Teams
L'Autorità di controllo norvegese ha irrogato una sanzione amministrativa all'Università di Agder per violazione del GDPR. Dal 2018, con l'adozione di Microsoft Teams, documenti contenenti dati personali erano conservati in cartelle aperte accessibili a dipendenti privi di necessità di conoscerli, scoperti nel febbraio 2024. Sono coinvolti circa 16.000 interessati tra dipendenti, studenti e soggetti esterni, con dati come nomi, numeri di identità nazionale, informazioni su esami adattati e sistemazioni speciali, oltre a un elenco di rifugiati ucraini con recapiti, istruzione e stato di sistemazione. L'Università non ha adottato misure adeguate a garantire la sicurezza dei dati personali nell'uso di Microsoft Teams. AI
Comune di Eidskog: pubblicati dati su un segnalante
L'autorità di protezione dei dati norvegese ha sanzionato il Comune di Eidskog per aver pubblicato per diversi anni, tramite i registri pubblici, informazioni riservate su un segnalante. Il Comune ha inoltre dato accesso alla segnalazione a due ex colleghi senza un'adeguata oscuratura, rivelando dati su salute fisica e mentale e situazione finanziaria. Secondo l'autorità, la vicenda mostra una scarsa comprensione e osservanza del dovere di riservatezza previsto dalla normativa sulla libertà d'informazione. La misura adottata è una sanzione amministrativa per violazione dei requisiti sulla base giuridica del trattamento previsti dal GDPR. AI
Ristorante DODO Pizza: videosorveglianza dei dipendenti e diffusione online
L'autorità di protezione dei dati slovena ha indagato sulla società FOVELLA d.o.o., titolare del franchising DODO PIZZA in Slovenia, per il monitoraggio illecito dei dipendenti in cucina tramite videosorveglianza e per la trasmissione in diretta delle immagini sul sito web aziendale. Il Garante sloveno ha ritenuto violato l'articolo 6 del GDPR, poiché il titolare non ha dimostrato una base giuridica né un legittimo interesse, dato che la videosorveglianza interna era già risultata illecita ai sensi della normativa nazionale. Sono state contestate anche la violazione dell'articolo 13 del GDPR per omessa informativa agli interessati e alcune disposizioni della legge nazionale sulla protezione dei dati; l'autorità ha disposto un ordine di conformità, la limitazione definitiva del trattamento, una sanzione amministrativa e un richiamo. AI
Ente previdenziale norvegese: carenze nel controllo degli accessi ai dati
L'autorità di protezione dei dati norvegese ha ispezionato nel settembre 2023 la NAV, l'ente norvegese per il lavoro e la previdenza sociale, e ha comunicato la decisione finale nel marzo 2024. Secondo l'autorità, il sistema di gestione dell'ente non è adeguato a garantire la conformità alla normativa sulla protezione dei dati e anche la tutela della riservatezza, attraverso la gestione degli accessi e il controllo dei log, risulta insoddisfacente nella pratica. Per la violazione del GDPR l'autorità ha imposto una sanzione amministrativa pecuniaria e diversi provvedimenti correttivi. AI
Ricardo: IFPDT chiede consenso valido per il tracciamento pubblicitario
L'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) svizzero ha concluso l'11 aprile 2024 la procedura di accertamento dei fatti sulla piattaforma di aste Ricardo. Il procedimento riguardava la trasmissione dei dati e il tracciamento multipiattaforma a fini di pubblicità mirata. Nel rapporto finale l'IFPDT raccomanda a Ricardo SA e a TX Group SA di rendere trasparenti tali attività e di ottenere un consenso valido per legittimarle, secondo quanto previsto dalla legge federale sulla protezione dei dati (LPD). AI
Gestore di software sanitari: dati di salute usati senza autorizzazione
L'autorità francese ha accertato che una società di software sanitari trattava dati di salute solo pseudonimizzati, quindi re-identificabili con mezzi ragionevoli, senza l'autorizzazione richiesta dalla legge francese per i depositi di dati sanitari. Le contestazioni riguardano anche la violazione del principio di liceità ex art. 5, par. 1, lett. a), del GDPR, perché la consultazione di dati tramite il servizio HRi dell'assicurazione sanitaria causava il download automatico dei dati nel fascicolo elettronico del paziente. L'autorità ha inflitto una sanzione amministrativa pecuniaria. AI
Ministero dell'Interno greco: dati di elettori trasmessi a terzi
L'autorità greca di protezione dei dati ha esaminato un file con i dati personali di tutti gli elettori expat registrati per le elezioni del giugno 2024, trasferito al di fuori del Ministero dell'Interno, che ne è titolare, nonostante la normativa non preveda tale comunicazione. Il file conteneva anche indirizzi e-mail e numeri di telefono, esclusi dalle copie delle liste elettorali, ed è stato inviato a un altro potenziale titolare per presunte analisi dei risultati elettorali. L'autorità ha rilevato violazioni degli articoli 5, 25, 30, 32 e 33 del GDPR e ha imposto una sanzione amministrativa con ordine di conformare misure e procedure entro un termine stabilito. Nei confronti dell'altro titolare, la sanzione è stata accompagnata dall'ordine di cancellare i dati trattati illecitamente, mentre la posizione del partito politico coinvolto è stata sospesa per ulteriori accertamenti. AI
Clearview AI: raccolta illecita di dati biometrici
L'autorità olandese per la protezione dei dati ha sanzionato Clearview AI Inc. per il trattamento di dati personali di persone presenti nei Paesi Bassi, nell'ambito del servizio di riconoscimento facciale destinato alle forze dell'ordine e ai difensori pubblici, in assenza di una base giuridica. La decisione rileva la violazione dei principi di liceità e trasparenza, del divieto di trattare dati biometrici come categoria particolare, degli obblighi di informativa agli interessati e del diritto di accesso, oltre alla mancata designazione di un rappresentante nell'Unione europea. L'autorità ha imposto anche quattro ingiunzioni, con sanzioni in caso di inottemperanza, volte a far cessare le violazioni ancora in corso. AI
Uniqlo: invio a ex dipendente di buste paga di colleghi
Un ex dipendente ha chiesto l'accesso ai propri dati retributivi e, nella risposta, ha ricevuto via e-mail un PDF contenente anche le buste paga di altri 446 lavoratori. L'autorità spagnola ha accertato la violazione dell'articolo 5, paragrafo 1, lettera f), del GDPR, per mancata garanzia di riservatezza e integrità dei dati, e dell'articolo 32, paragrafo 1, per l'assenza di misure tecniche e organizzative adeguate. Le misure adottate successivamente non sono state considerate per valutare la responsabilità, e la negligenza del dipendente non esclude quella dell'azienda. È stata irrogata una sanzione amministrativa. AI
Operatore telefonico: risposta a una richiesta di accesso con 14 mesi di ritardo
Un cliente di un operatore di telecomunicazioni ha presentato una richiesta di accesso ai propri dati tramite il canale Messenger, chiedendo che fosse trasmessa al Responsabile della protezione dei dati (DPO), cosa che non è avvenuta. Il titolare ha risposto solo durante lo scambio di conclusioni, 14 mesi dopo la richiesta. L'autorità belga ha riscontrato la violazione dell'articolo 15 del GDPR e ha imposto una sanzione amministrativa pecuniaria, con la possibilità di ricorso entro 30 giorni. Non sono state contestate le violazioni degli articoli 12.2 e 12.3, che non facevano parte del procedimento. AI
Avanza Bank AB: dati dei clienti trasmessi a Meta tramite pixel mal configurato
La banca svedese ha attivato per errore nuove funzioni del Meta Pixel su sito e app, trasferendo a Meta, tra il 15 novembre 2019 e il 2 giugno 2021, dati di clienti come saldi di titoli, importo dei prestiti, numero di conto e codice fiscale. L'autorità svedese ha riscontrato la violazione del GDPR per mancata adozione di misure tecniche e organizzative adeguate a garantire un livello di sicurezza appropriato. È stata irrogata una sanzione amministrativa; la banca ha disattivato il pixel, ottenuto da Meta la cancellazione dei dati e rivisto le procedure interne. AI
Xplain: adottate tutte le raccomandazioni del garante svizzero
Dopo un attacco ransomware subito dalla società Xplain, l'IFPDT ha aperto nel 2023 tre inchieste e pubblicato il 1° maggio 2024 i relativi rapporti finali, con diverse raccomandazioni in materia di protezione dei dati. Alla fine di maggio 2024 l'Ufficio federale di polizia (fedpol), l'Ufficio federale della dogana e della sicurezza dei confini (UDSC) e la stessa Xplain hanno adottato integralmente tali raccomandazioni. Il caso riguarda in particolare la sicurezza del trattamento dei dati e la collaborazione tra l'Amministrazione federale e i suoi fornitori privati. L'IFPDT si riserva di effettuare controlli in tutta l'Amministrazione federale. AI
Verkkokauppa.com: conservazione indefinita dei dati e obbligo di registrazione
Il Garante finlandese ha esaminato le pratiche dell'e-commerce Verkkokauppa.com a seguito di un reclamo di un cliente. L'azienda non aveva definito il periodo di conservazione dei dati degli account clienti, che venivano conservati a tempo indeterminato, e richiedeva la creazione di un account per effettuare acquisti online. L'autorità ha ravvisato violazioni dell'articolo 5 e dell'articolo 25 del GDPR, imponendo una sanzione amministrativa pecuniaria, un ordine di adeguamento e un ammonimento. AI
Società postale greca: accessi non autorizzati e dati sul Dark Web
L'autorità greca per la protezione dei dati ha esaminato due violazioni segnalate dalla società postale Hellenic Post Services S.A. (ELTA S.A.): la cifratura dei dati nei sistemi aziendali a scopo di riscatto, seguita da un attacco informatico, e la fuga di dati personali poi pubblicati sul Dark Web. L'istruttoria ha accertato che il titolare non aveva adottato le misure tecniche e organizzative richieste dal GDPR e non aveva garantito l'attuazione della politica di sicurezza del trattamento, con accessi non autorizzati, esecuzione di processi malevoli e disattivazione dei software di sicurezza. È stata irrogata una sanzione pari all'1% del fatturato annuo dell'ultimo esercizio disponibile, tenendo conto del numero di persone coinvolte, del danno, della natura della violazione e delle categorie di dati interessate, mentre tra le circostanze attenuanti sono stati considerati il rafforzamento delle misure di sicurezza dopo l'incidente, l'affidamento dell'indagine a una società specializzata, il recupero dei dati e la situazione finanziaria sfavorevole della società. AI
Comune di Kópavogur: uso di Google Workspace senza adeguate garanzie
L'autorità islandese per la protezione dei dati ha esaminato l'uso di Google Workspace for Education nelle scuole elementari del Comune di Kópavogur, nell'ambito dell'azione coordinata EDPB 2022 sul cloud nel settore pubblico. È emerso che i dati degli studenti erano trattati anche per finalità proprie di Google, non solo su istruzione del Comune, e che il Comune non aveva dimostrato la compatibilità di tali trattamenti con la finalità originaria. Sono state contestate violazioni di vari articoli del GDPR, tra cui principi di finalità, minimizzazione e conservazione, contratto di trattamento incompleto, mancata valutazione d'impatto e trasferimenti verso gli Stati Uniti senza garanzie adeguate. L'autorità ha ordinato di rendere conforme il trattamento e ha irrogato una sanzione amministrativa pecuniaria. AI
Comune di Garðabær: uso di Google Workspace senza garanzie adeguate
L'autorità islandese per la protezione dei dati ha esaminato l'uso di Google Workspace for Education nelle scuole elementari del Comune di Garðabær, nell'ambito dell'azione coordinata dell'EDPB sul cloud nel settore pubblico. È emerso che i dati degli studenti venivano trattati anche per finalità proprie di Google e che il Comune non ha dimostrato la compatibilità di tale ulteriore trattamento con la finalità originaria, cioè l'istruzione. Sono state riscontrate violazioni di vari articoli del GDPR, tra cui principi di liceità, minimizzazione e limitazione della conservazione, requisiti del contratto di trattamento, valutazione d'impatto e trasferimenti verso gli Stati Uniti senza garanzie appropriate. L'autorità ha ordinato di rendere conformi i trattamenti e ha irrogato una sanzione amministrativa. AI
Comune di Reykjanesbær: uso di Google Workspace senza garanzie adeguate
L'autorità islandese per la protezione dei dati ha esaminato l'utilizzo di Google Workspace for Education nelle scuole elementari del comune di Reykjanesbær, nell'ambito dell'azione coordinata dell'EDPB sul cloud nel settore pubblico. È emerso che i dati degli studenti venivano trattati anche per finalità proprie di Google, senza che il comune dimostrasse la compatibilità con lo scopo educativo originario. Sono state riscontrate violazioni di vari articoli del GDPR, tra cui principi di limitazione della finalità, minimizzazione e conservazione, obblighi relativi al contratto con il responsabile del trattamento, valutazione d'impatto sulla protezione dei dati e trasferimenti verso gli Stati Uniti privi di garanzie adeguate. L'autorità ha ordinato di rendere conforme il trattamento e ha irrogato una sanzione amministrativa. AI
Comune di Hafnarfjörður: uso di Google Workspace senza garanzie per gli studenti
L'autorità islandese per la protezione dei dati ha esaminato l'uso di Google Workspace for Education nelle scuole elementari del Comune di Hafnarfjörður, nell'ambito dell'azione coordinata dell'EDPB sul cloud nel settore pubblico. È emerso che i dati degli studenti venivano trattati anche per finalità proprie di Google, senza che il Comune dimostrasse la compatibilità di tale ulteriore trattamento con la finalità educativa originaria. Sono state riscontrate violazioni di vari articoli del GDPR, tra cui principi di finalità, minimizzazione e limitazione della conservazione, contenuto minimo del contratto con il responsabile del trattamento, valutazione d'impatto e trasferimenti verso gli Stati Uniti senza garanzie appropriate. L'autorità ha ordinato di rendere conformi i trattamenti e ha inflitto una sanzione amministrativa. AI
Comune di Reykjavík: uso di Google Workspace con trattamenti per fini propri del fornitore
L'autorità islandese di protezione dei dati ha esaminato l'uso di Google Workspace for Education da parte del Comune di Reykjavík nelle scuole elementari, nell'ambito dell'azione coordinata EDPB sul cloud nel settore pubblico. È emerso che i dati degli studenti venivano trattati anche per finalità proprie di Google, senza che il Comune dimostrasse la compatibilità con la finalità educativa iniziale. Sono stati riscontrati problemi relativi agli articoli 5, 6, 24, 25, 28, 35, 44 e 46 del GDPR, tra cui contratto di trattamento non conforme, minimizzazione insufficiente, valutazione d'impatto carente e trasferimenti verso gli Stati Uniti senza garanzie adeguate. L'autorità ha ordinato di rendere conforme il trattamento e ha irrogato una sanzione amministrativa. AI
Ministero greco dell'Immigrazione e dell'Asilo: uso di sistemi di sorveglianza nei centri
L'autorità greca di protezione dei dati ha avviato un'indagine d'ufficio sui programmi "Centaur" e "Hyperion", sistemi di gestione della sicurezza e di controllo degli accessi con trattamento di dati biometrici, installati dal Ministero nei centri di accoglienza e identificazione per cittadini di Paesi terzi. Sono state riscontrate la mancata collaborazione del Ministero con l'autorità e valutazioni d'impatto sulla protezione dei dati incomplete e limitate nella portata, in violazione dell'art. 39 GDPR. L'autorità ha irrogato una sanzione amministrativa e ha ordinato al Ministero di adeguarsi agli obblighi del GDPR entro tre mesi. AI
Compagnia assicurativa: mancata notifica di una violazione di dati
Un documento contenente i dati personali di un cliente, tra cui nome, indirizzo, dati del veicolo e importo del risarcimento, è stato inviato per errore umano a un destinatario non autorizzato. L'assicurazione ha valutato il rischio come basso e ha registrato l'episodio solo nel registro interno, senza notificarlo all'autorità di controllo, come previsto dall'art. 33 GDPR. Nel corso del procedimento avviato d'ufficio, l'autorità polacca ha applicato una sanzione amministrativa pecuniaria ai sensi dell'art. 83 GDPR, tenendo conto della durata della violazione e del livello insufficiente di cooperazione. AI
Tribunale distrettuale di Cracovia: mancata notifica di una violazione
Un corriere postale ha consegnato a un destinatario una corrispondenza danneggiata e incompleta, inviata dal Consolato generale polacco su richiesta del tribunale. Il tribunale, titolare del trattamento, non ha notificato la violazione all'autorità di controllo né l'ha comunicata agli interessati senza ingiustificato ritardo, come richiesto dagli articoli 33 e 34 del GDPR. Hanno riguardato sette persone, tra cui numeri PESEL, dati sanitari e valutazioni psicologiche di due minori. L'autorità polacca ha irrogato una sanzione amministrativa pecuniaria. AI
Come nascono queste schede
- 1
Le fonti sono l'EDPB e le autorità nazionali
Il Comitato europeo per la protezione dei dati pubblica in inglese le decisioni più importanti dei garanti nazionali. Ogni mattina leggiamo le nuove. Le sanzioni della CNIL francese le leggiamo ogni mattina anche nel testo integrale, dai dati aperti di Légifrance. Le decisioni del garante austriaco che accertano una violazione le prendiamo dai dati aperti del RIS, in licenza CC BY 4.0. Il garante svizzero (IFPDT) pubblica i suoi casi anche in italiano: li controlliamo ogni settimana.
- 2
Dati dalla fonte, sintesi in italiano
Importo, articoli e misure vengono presi così come sono dalla notizia. La sintesi in italiano è scritta con l'intelligenza artificiale e collegata ai casi simili del nostro archivio.
- 3
Riletta prima di uscire
Nessuna scheda va online senza revisione. Le notizie sulle decisioni del Garante italiano non finiscono qui: sono già nell'archivio.
Domande frequenti
Che cos'è l'EDPB?
Il Comitato europeo per la protezione dei dati (EDPB) è l'organismo dell'Unione che riunisce le autorità di controllo nazionali e il Garante europeo della protezione dei dati (art. 68 del GDPR). Assicura che il GDPR sia applicato in modo coerente in tutta l'Unione e pubblica sul proprio sito una selezione delle decisioni adottate dai garanti nazionali, da cui partono le schede di questa sezione.
Le decisioni dei garanti stranieri valgono anche in Italia?
Il GDPR è lo stesso in tutti i Paesi dell'Unione, ma ogni autorità decide sui casi di sua competenza: la decisione di un garante straniero non vincola il Garante italiano. Per i trattamenti transfrontalieri decide l'autorità dello stabilimento principale del titolare, in cooperazione con le altre autorità interessate (artt. 56 e 60 del GDPR). Per chi lavora in Italia queste decisioni sono utili perché mostrano come vengono applicati gli stessi articoli.
Perché gli importi cambiano tanto da un Paese all’altro?
Ogni autorità applica gli stessi criteri dell'art. 83 del GDPR (natura, gravità e durata della violazione, numero di interessati, dolo o colpa, misure adottate, precedenti, cooperazione) ai fatti del caso e alle dimensioni del titolare. Le linee guida 04/2022 dell'EDPB sul calcolo delle sanzioni, adottate nella versione definitiva nel 2023, indicano un metodo comune, ma l'importo resta legato al caso concreto.
Dove si leggono le decisioni originali?
Ogni scheda rimanda alla notizia pubblicata dall'EDPB e, quando c'è, alla decisione originale dell'autorità nazionale, spesso nella lingua del Paese. Le schede sulle sanzioni della CNIL partono direttamente dalla delibera in francese pubblicata su Légifrance. Quelle sul garante austriaco partono dalla decisione in tedesco pubblicata nel RIS, il sistema di informazione giuridica dello Stato austriaco. Le schede sono sintesi indipendenti in italiano, non traduzioni ufficiali né documenti delle autorità.
Perché le schede austriache non dicono il nome dell’azienda?
La Datenschutzbehörde, il garante austriaco, pubblica le proprie decisioni già pseudonimizzate: i nomi di persone e aziende, gli indirizzi e altri dettagli sono abbreviati o modificati. Le schede quindi descrivono chi ha ricevuto la decisione (per esempio una clinica privata o un'agenzia di selezione del personale) e riportano il nome solo quando la decisione lo indica, di solito per un ente pubblico. Molte sanzioni austriache colpiscono persone fisiche, per esempio dipendenti che consultano dati senza motivo.
Perché ci sono anche casi svizzeri?
La Svizzera non fa parte dell'Unione europea né dello Spazio economico europeo e applica una legge propria, la legge federale sulla protezione dei dati (LPD), nella versione nuova in vigore dal 1° settembre 2023. Le schede svizzere partono dai comunicati dell'Incaricato federale della protezione dei dati e della trasparenza (IFPDT), pubblicati anche in italiano. L'IFPDT non infligge multe: svolge indagini, emana decisioni e formula raccomandazioni. Le multe previste dalla LPD, fino a 250.000 franchi, le decidono le autorità penali dei Cantoni e di regola colpiscono le persone responsabili, non l'azienda.
Informazioni generali a scopo divulgativo, non consulenza legale. Progetto indipendente, non affiliato al Garante né all'EDPB.
Ogni nuova sanzione del Garante, riassunta, nella tua casella
Un'email per ogni sanzione, parere o ammonimento pubblicato, con la sintesi già pronta e il link al testo ufficiale: arriva poche ore dopo l'uscita sul sito del Garante, al più tardi il giorno dopo. Gratis, indipendente, senza spam.
Negli ultimi 30 giorni: 44 provvedimenti riassunti.