Art. 28 GDPR – Responsabile del trattamento
46 provvedimenti — 30 sanzioni, 8 pareri, 8 altro
Richiamato nell'archivio dal 12 febbraio 2026 al 3 settembre 2026.
Dove si trova nel GDPR
Titolare del trattamento e responsabile del trattamento
15 su 20 articoli richiamati · 156 provvedimenti- Art. 24 · Responsabilità del titolare del trattamento35 provvedimenti · 19 sanzioni · €49,3M
- Art. 25 · Protezione dei dati fin dalla progettazione e protezione per impostazione predefinita46 provvedimenti · 26 sanzioni · €24,7M
- Art. 26 · Contitolari del trattamentonessun provvedimento nell’archivio
- Art. 27 · Rappresentanti di titolari del trattamento o dei responsabili del trattamento non stabiliti nell'Unione1 provvedimento · 1 sanzione · €158K
- Art. 28 · Responsabile del trattamento46 provvedimenti · 30 sanzioni · €32,3M
- Art. 29 · Trattamento sotto l'autorità del titolare del trattamento o del responsabile del trattamento6 provvedimenti · 2 sanzioni · €9,5K
- Art. 30 · Registri delle attività di trattamento3 provvedimenti · 3 sanzioni · €150K
- Art. 31 · Cooperazione con l'autorità di controllo8 provvedimenti · 7 sanzioni · €71,6K
- Art. 32 · Sicurezza del trattamento57 provvedimenti · 25 sanzioni · €58,0M
- Art. 33 · Notifica di una violazione dei dati personali all'autorità di controllo18 provvedimenti · 14 sanzioni · €34,0M
- Art. 34 · Comunicazione di una violazione dei dati personali all'interessato10 provvedimenti · 6 sanzioni · €32,1M
- Art. 35 · Valutazione d'impatto sulla protezione dei dati26 provvedimenti · 12 sanzioni · €12,8M
- Art. 36 · Consultazione preventiva31 provvedimenti
- Art. 37 · Designazione del responsabile della protezione dei dati4 provvedimenti · 3 sanzioni · €34,8K
- Art. 38 · Posizione del responsabile della protezione dei datinessun provvedimento nell’archivio
- Art. 39 · Compiti del responsabile della protezione dei dati1 provvedimento · 1 sanzione · €5K
- Art. 40 · Codici di condotta1 provvedimento · 1 sanzione · €2M
- Art. 41 · Monitoraggio dei codici di condotta approvatinessun provvedimento nell’archivio
- Art. 42 · Certificazionenessun provvedimento nell’archivio
- Art. 43 · Organismi di certificazionenessun provvedimento nell’archivio
Tutta la mappa del GDPR → Testo ufficiale dell'art. 28 su EUR-Lex ↗
Richiamato spesso insieme a
Negli stessi provvedimenti, gli articoli citati più spesso accanto all'art. 28.
I provvedimenti
03/09/2026
Ministero dell'Interno
Il Garante esprime parere favorevole sullo schema di decreto che modifica le modalità tecniche di emissione della carta di identità elettronica, subordinando l'approvazione al recepimento di sette condizioni relative alla protezione dei dati personali e alle garanzie di trasparenza. Le modifiche riguardano la migrazione e centralizzazione dell'infrastruttura CIE presso l'Istituto Poligrafico e Zecca dello Stato con conseguente ridefinizione dei ruoli di titolare e responsabile del trattamento. AI
23/07/2026
Regione Veneto
Il Garante esprime parere favorevole sul progetto di legge della Regione Veneto per l'istituzione del Sistema informativo regionale per il governo del personale del Servizio Socio-Sanitario Regionale. Lo schema recepisce le indicazioni formulate dall'Ufficio e risulta conforme alla disciplina unionale e statale in materia di protezione dei dati personali, con adeguate limitazioni dell'ambito di trattamento, divieti di profilazione e scoring, e misure di sicurezza rafforzate. AI
03/07/2026
Ecogenia S.r.l.
Il Garante accerta violazioni significative di norme GDPR e del Codice Privacy relative al telemarketing non autorizzato verso numeri iscritti al RPO, difetti nel consenso e gestione dei diritti degli interessati, e controllo insufficiente sui partner commerciali. Irrogata sanzione pecuniaria di 125.000 euro con prescrizioni volte ad adeguare le attività promozionali alla normativa vigente. AI
06/08/2026
Ministero della salute
Il Garante esprime parere favorevole sullo schema di decreto SIPER che disciplina il trattamento dei dati personali del personale impiegato presso strutture SSN, limitando i dati ai soli dipendenti di strutture pubbliche e private accreditate. Il provvedimento rispetta i principi di liceità, minimizzazione e protezione dalla progettazione, con adeguate misure di sicurezza fisica e logica, tracciatura delle operazioni e procedure di autenticazione. AI
06/08/2026
INPS
Il Garante esprime parere favorevole sullo schema di disciplinare INPS che disciplina il trattamento dei dati per la Carta Europea della disabilità, anche in versione digitale attraverso il Punto di Accesso Telematico. Il parere è condizionato all'implementazione di misure di minimizzazione dei dati, privacy by design, e all'avvio di iniziative per acquisire direttamente i verbali sanitari dalle Regioni per evitare oneri al cittadino. AI
14/07/2026
Comune di Chivasso
Il Garante accerta la violazione dell'art. 13 GDPR da parte del Comune di Chivasso per incompletezza delle informazioni rese ai dipendenti sui tempi di conservazione dei metadati di posta elettronica. Emana un ammonimento anziché sanzione pecuniaria, considerando la natura colposa della violazione, le dimensioni ridotte dell'ente, la cooperazione offerta e la tempestiva correzione adottata. AI
23/07/2026
TIM S.p.A.
Il Garante accerta violazioni degli artt. 5, 6, 7, 12, 15-22, 24, 25, 28, 32 GDPR e art. 130 Codice Privacy da parte di TIM per il trattamento illecito di dati personali legato a comunicazioni promozionali non autorizzate e acquisizione di numerazioni telefoniche senza verifica della titolarità attraverso call center abusivi. Sono imposte misure correttive relative alle procedure di ricontatto, controllo dei partner e gestione dei diritti degli interessati. AI
03/07/2026
Hera Comm S.p.A.
Il Garante ha accertato l'illiceità del trattamento dei dati personali effettuato da Hera Comm S.p.A. mediante il software CGS-X per la verifica dell'affidabilità creditizia dei potenziali clienti. Le violazioni riguardano: mancanza di trasparenza (artt. 12, 13, 14), violazione dei principi di liceità, correttezza e lealtà (art. 5 par. 1 lett. a)), violazione del principio di integrità e riservatezza (art. 5 par. 1 lett. b)), violazione del principio di limitazione della conservazione (art. 5 par. 1 lett. e)), violazione del diritto di accesso (art. 15) e inosservanza degli obblighi del responsabile del trattamento (art. 28). La Società è ingiunta di conformarsi alle prescrizioni entro sei mesi e di pagare la sanzione entro trenta giorni dalla notifica. AI
03/07/2026
EstEnergy S.p.A.
EstEnergy S.p.A. ha effettuato illecito trattamento di dati personali per valutazione affidabilità creditizia clienti attraverso il sistema CGS-X, senza corretta informazione agli interessati e violando i diritti di accesso. Violazioni accertate: artt. 5(1)(a,b,d,e), 12, 13, 14, 15 e 28 GDPR. La società ha negato forniture energetiche sulla base di score creditizi senza trasparenza e senza consentire l'accesso ai dati presso Cerved Group e Experian Italia. Prescritto il ripristino della conformità entro sei mesi dalla notifica e pagamento della sanzione entro 30 giorni. AI
L'articolo è collegato ai provvedimenti in cui compare tra gli articoli richiamati nella scheda di sintesi. Sintesi fattuali, non consulenza legale: per il testo fa fede la fonte ufficiale.
Non perderti nessun provvedimento
Un'email il giorno stesso in cui il Garante pubblica una sanzione o un parere, con la sintesi già pronta — niente altro, cancellazione in un click.