Art. 9 GDPR (Trattamento di categorie particolari di dati personali): i provvedimenti del Garante

Ammonimento Doc. 10296726
03/09/2026

Comune di Desenzano del Garda

Il Garante dichiara l'illiceità del trattamento dati effettuato dal Comune che ha rilasciato una segnalazione riservata di un dipendente a un collega senza adeguata limitazione del contenuto, violando i principi di liceità, correttezza e minimizzazione dei dati. Sebbene il successivo affisso della segnalazione presso i magazzini comunali sia stato compiuto dal collega autonomamente, il Garante considera la decisione del Comune di divulgare il documento integrale non conforme alla normativa. Il Comune viene ammonito per le violazioni accertate, ritenute di carattere isolato e colposo. AI

— Leggi l'approfondimento →

Parere Doc. 10296664
12/08/2026

Azienda Tutela della Salute Liguria

Il Garante nega l'accesso civico generalizzato a un verbale di conciliazione relativo a causa di lavoro, in quanto il documento contiene dati relativi alla salute rientranti in categorie particolari di dati personali e sottoposti a espresso divieto di diffusione. L'esclusione dell'accesso è diretta dal legislatore e rappresenta un'eccezione assoluta che dispensa l'amministrazione da ulteriori valutazioni di merito. AI

Pubblica Amministrazione Diritto di accesso agli atti Trasparenza amministrativa

Negativo Leggi l'approfondimento →

Ammonimento Doc. 10292539
14/07/2026

Avv. XX

Il Garante dichiara illecito il trattamento di dati personali effettuato da un avvocato nei confronti di una cliente per violazione dell'obbligo di informativa previa. Sebbene l'avvocato abbia asserito di aver esposto un'informativa in sala d'attesa, non ha provato in modo certo e dimostrabile il rilascio della medesima alla cliente, violando i principi di accountability e trasparenza. Adotta ammonimento senza sanzione pecuniaria valutando la violazione come minore. AI

Informativa Avvocati Contratti Accountability

— Leggi l'approfondimento →

Sanzione Doc. 10287084
23/07/2026

Agenzia Regionale per il lavoro dell'Emilia Romagna

Il Garante accerta la pubblicazione online e indicizzazione sui motori di ricerca di una graduatoria contenente i nominativi di circa 700 candidati senza valida base giuridica, violando gli artt. 5, 6 e 9 del GDPR. L'Agenzia Regionale è sanzionata con € 30.000 per aver diffuso dati personali anche di natura particolare in violazione della normativa sulla protezione dei dati, nonostante il perseguimento di finalità di trasparenza amministrativa. AI

Pubblica Amministrazione Graduatorie di concorsi Lavoro pubblico

€30K Leggi l'approfondimento →

Sanzione Doc. 10293994
03/09/2026

Azienda sanitaria universitaria Friuli centrale (ASUFC)

Il Garante accerta la violazione delle norme sulla protezione dei dati personali per il trattamento illecito di dati sanitari attraverso il dossier sanitario aziendale, inclusi accessi non autorizzati e configurazioni improprie del sistema. L'ASUFC è condannata al pagamento di euro 24.000 e all'adozione di prescrizioni correttive entro 60 giorni, con pubblicazione della decisione sul sito. AI

Sanità e ricerca scientifica Dati sanitari Aziende sanitarie Dossier sanitario

€24K Leggi l'approfondimento →

Sanzione Doc. 10292097
14/07/2026

E-distribuzione S.p.A.; Enel Global Services s.r.l.

Il Garante sanziona E-distribuzione S.p.A. (€ 36.000) ed Enel Global Services s.r.l. (€ 18.000) per violazione dei principi di trasparenza e libertà del consenso in relazione a moduli di raccolta consensi pre-flaggati durante una procedura di mobilità interaziendale. Le Società hanno sottoposto all'interessata consensi con caselle già selezionate per trattamenti di categorie particolari di dati e immagine, conditioning l'accettazione alla sottoscrizione. Sebbene le Società abbiano successivamente rimosso i consensi pre-flaggati e aggiornato l'informativa, il Garante ha accertato la violazione degli artt. 5, 12, 13 e 17 GDPR. AI

Consenso Informativa Lavoro privato

€54K Leggi l'approfondimento →

Parere Doc. 10292232
23/07/2026

Regione Veneto

Il Garante esprime parere favorevole sul progetto di legge della Regione Veneto per l'istituzione del Sistema informativo regionale per il governo del personale del Servizio Socio-Sanitario Regionale. Lo schema recepisce le indicazioni formulate dall'Ufficio e risulta conforme alla disciplina unionale e statale in materia di protezione dei dati personali, con adeguate limitazioni dell'ambito di trattamento, divieti di profilazione e scoring, e misure di sicurezza rafforzate. AI

Lavoro e previdenza

Favorevole Leggi l'approfondimento →

Sanzione Doc. 10287326
23/07/2026

Azienda Ospedaliero-Universitaria di Bologna IRCCS

Il Garante accerta la violazione dei principi di liceità e correttezza del trattamento (artt. 5, 6 GDPR) e del divieto di trattamento di dati sensibili (art. 9 GDPR) per la pubblicazione online, sulla sezione Amministrazione Trasparente del sito aziendale, dell'elenco candidati idonei e non idonei a una procedura selettiva nel pubblico impiego, contenente nominativi di circa 90 partecipanti. L'Azienda ospedaliera è condannata al pagamento di euro 10.000,00 quale sanzione amministrativa pecuniaria, con pubblicazione della presente ordinanza ingiunzione sul sito del Garante. AI

Trattamento e diffusione dei dati personali Pubblica Amministrazione Lavoro pubblico

€10K Leggi l'approfondimento →

Sanzione Doc. 10287044
23/07/2026

Istituto Omnicomprensivo Ancel Keys di Castelnuovo Cilento (SA)

Il Garante ha accertato la violazione della normativa sulla protezione dei dati personali in relazione alla comunicazione effettuata dall'Istituto al Sindaco riguardante l'esclusione di una minore dalla scuola per mancata osservanza dell'obbligo vaccinale, comportante la trasmissione di dati sensibili senza idonea base giuridica. È stata inflitta una sanzione amministrativa pecuniaria di euro 2.000. AI

Scuola Studenti Tutela dei minori

€2K Leggi l'approfondimento →

Parere Doc. 10286615
06/08/2026

Ministero del lavoro e delle politiche sociali

Il Garante esprime parere favorevole sullo schema di decreto attuativo dell'art. 7, comma 3, del d.l. 48/2023 in materia di controlli su lavoro e legislazione sociale, subordinatamente al rispetto di sei condizioni specifiche volte a garantire elevati standard di protezione dei dati personali e accessi selettivi alle banche dati dell'INPS. Le condizioni riguardano la circoscrizione degli utenti abilitati, il divieto di duplicazione massiva di dati, la registrazione e la motivazione degli accessi, le verifiche autonome dei soggetti accedenti e la sottoscrizione di due convenzioni distinte con INL e Guardia di finanza. AI

Lavoro e previdenza Misure di sicurezza Pubblica Amministrazione Archivi e banche dati Stato di salute Enti pubblici INPS Guardia di finanza Minimizzazione

Favorevole Leggi l'approfondimento →

Parere Doc. 10286784
06/08/2026

INPS

Il Garante esprime parere favorevole sullo schema di disciplinare INPS che disciplina il trattamento dei dati per la Carta Europea della disabilità, anche in versione digitale attraverso il Punto di Accesso Telematico. Il parere è condizionato all'implementazione di misure di minimizzazione dei dati, privacy by design, e all'avvio di iniziative per acquisire direttamente i verbali sanitari dalle Regioni per evitare oneri al cittadino. AI

Archivi e banche dati Dati sanitari INPS Disabilità Invalidità DPIA Minimizzazione

Favorevole Leggi l'approfondimento →

Ammonimento Doc. 10286374
14/07/2026

Comune di Chivasso

Il Garante accerta la violazione dell'art. 13 GDPR da parte del Comune di Chivasso per incompletezza delle informazioni rese ai dipendenti sui tempi di conservazione dei metadati di posta elettronica. Emana un ammonimento anziché sanzione pecuniaria, considerando la natura colposa della violazione, le dimensioni ridotte dell'ente, la cooperazione offerta e la tempestiva correzione adottata. AI

Pubblica Amministrazione Lavoro pubblico

— Leggi l'approfondimento →

Ammonimento Doc. 10286342
14/07/2026

Istituto Omnicomprensivo Scuola Europea di Brindisi

L'Istituto ha inviato una comunicazione relativa alle elezioni RSU con gli indirizzi email personali dei destinatari in chiaro anziché in copia nascosta, causando la reciproca conoscenza dei dati personali. Pur riconoscendo la violazione dovuta a errore umano, il Garante ha ammonito l'Istituto senza irrogare sanzione pecuniaria, considerato il carattere episodico della violazione e le misure correttive adottate. AI

Pubblica Amministrazione Scuola Lavoro pubblico

— Leggi l'approfondimento →

Parere Doc. 10286306
14/07/2026

Ministero della giustizia

Il Garante esprime parere favorevole allo schema di decreto che riformula le modalità di trasmissione telematica degli atti di ultima volontà al Registro generale dei testamenti, adeguandole al regolamento eIDAS e alle nuove regole di identità digitale. Il parere è condizionato all'integrazione del testo normativo con specifici elementi essenziali del trattamento dei dati, in particolare finalità, categorie di dati, tempi di conservazione e garanzie per gli interessati. AI

Particolari categorie di dati Archivi e banche dati Pubblici registri

Favorevole Leggi l'approfondimento →

Sanzione Doc. 10280790
03/07/2026

Comune di Villaputzu

Il Garante sanziona il Comune di Villaputzu per aver pubblicato in Albo Pretorio online e in Amministrazione Trasparente una determina contenente il numero di matricola di una dipendente comunale, in assenza di idonea base giuridica e in violazione dei principi di liceità, correttezza, trasparenza e minimizzazione dei dati. Sebbene l'Ente abbia agito in buona fede e adottato misure correttive, è stata irrogata una sanzione di euro 2.000 valutata al ribasso in considerazione del basso livello di gravità della violazione. AI

Lavoro pubblico

€2K Leggi l'approfondimento →

Sanzione Doc. 10280770
03/07/2026

Comune di San Genesio ed Uniti

Il Garante ha accertato l'illiceità del trattamento di dati personali relativi all'appartenenza sindacale e dati del rappresentante sindacale, effettuato dal Comune in assenza di base giuridica, in violazione degli artt. 5, 6 e 9 GDPR. La comunicazione a un ente destinatario di una procedura di mobilità è stata ritenuta priva di idonea base legale, nonostante il convincimento errato del Comune che il destinatario fosse già informato. È stata comminata una sanzione di 2.000 euro, considerando il carattere episodico della violazione, la natura colposa della condotta e le limitate risorse dell'ente. AI

Pubblica Amministrazione Comunicazione a terzi Lavoro pubblico Comuni Iscrizione a sindacati

€2K Leggi l'approfondimento →

Sanzione Doc. 10272963
03/07/2026

Azienda sanitaria universitaria Giuliano Isontina

Il Garante ha sanzionato ASUGI per accessi illegittimi al dossier sanitario elettronico da parte di operatori sanitari, che hanno consultato cartelle cliniche di pazienti senza giustificazione clinica, in violazione dei principi di liceità e riservatezza. La violazione ha riguardato il caso di un paziente i cui dati sono stati utilizzati da un'ex coniuge in una causa di divorzio e l'accesso ai dati di altri tre pazienti. Il Garante ha ritenuto la violazione di gravità media in considerazione delle misure implementate e della collaborazione aziendale. AI

Sanità e ricerca scientifica Dati sanitari Aziende sanitarie Dossier sanitario

€10K Leggi l'approfondimento →

Parere Doc. 10272544
03/07/2026

ANAC

Il Garante esprime parere favorevole sulla bozza di delibera ANAC che disciplina la pubblicazione dei contributi ricevuti per campagne elettorali, prevedendo l'oscuramento dei nominativi dei donatori persone fisiche nella pubblicazione su web, pur assicurando l'accesso ai dati completi tramite istanza di accesso civico generalizzato. La soluzione bilancia esigenze di trasparenza amministrativa con protezione dei dati personali di natura sensibile (opinioni politiche), nel rispetto dei principi di necessità e minimizzazione. AI

Pubblica Amministrazione Trasparenza amministrativa

Favorevole Leggi l'approfondimento →

Sanzione Doc. 10273039
03/07/2026

Società Editoriale Il Fatto S.p.A.

Il Garante dichiara illecito il trattamento di dati personali e dati sensibili (ricovero ospedaliero) effettuato da testata giornalistica in articolo su incidente funiviario. La pubblicazione ha violato il principio di essenzialità dell'informazione in quanto ha diffuso dati sensibili dell'interessata, presentata in modo fuorviante, senza adeguato bilanciamento tra diritto di cronaca e tutela dei diritti fondamentali. Irrogata sanzione di 23.750 euro e ordinata pubblicazione del provvedimento sul sito dell'Autorità. AI

Giornalismo Diritto all'oblio Stato di salute

€23,8K Leggi l'approfondimento →

Ammonimento Doc. 10268606
18/06/2026

SanitaService Asl Le s.r.l. Unipersonale

Il Garante ha accertato la violazione degli artt. 5, par. 1, lett. a), 6 e 9, par. 2, lett. b), del Regolamento (UE) 2016/679, nonché dell'art. 2-ter del Codice della privacy, da parte di SanitaService Asl Le s.r.l. Unipersonale per aver consentito l'affissione in bacheca aziendale di un'email contenente dati personali relativi allo stato di salute di due dipendenti (assenze per motivi di salute), in assenza di base giuridica e non conforme al principio di liceità, correttezza e trasparenza. L'email è rimasta affissa per un periodo compreso tra una settimana e circa un mese. Il coordinatore che ha affisso il documento ha agito di propria iniziativa, non conforme alle procedure aziendali. La condotta è stata qualificata come violazione minore. AI

Particolari categorie di dati Pubblica Amministrazione Comunicazione a terzi Lavoro pubblico

Accertata violazione Leggi l'approfondimento →

Parere Doc. 10267085
18/06/2026

Comune di Sant'Angelo Lodigiano - Responsabile della prevenzione della corruzione e della trasparenza

Il Garante si pronuncia sulla richiesta di riesame di un diniego di accesso civico relativo a documenti sanitari e personali del genitore del richiedente. Il parere conferma il rifiuto dell'accesso poiché i documenti contengono dati sulla salute soggetti a divieto assoluto di diffusione, e ulteriore documentazione personale comporterebbe pregiudizio concreto alla protezione dei dati personali del controinteressato. AI

Pubblica Amministrazione Diritto di accesso agli atti Enti locali Enti pubblici Trasparenza amministrativa Comuni Accesso civico

Negativo Leggi l'approfondimento →

Sanzione Doc. 10266034
11/06/2026

Città Metropolitana di Sassari

Il Garante sanziona la Città Metropolitana di Sassari per violazione dei principi di integrità, riservatezza e responsabilizzazione nella configurazione del protocollo informatico, che ha consentito l'accesso non autorizzato a dati personali delicati afferenti a segnalazioni disciplinari. La violazione ha riguardato tutti i dati transitati sul sistema e si è protratta fino alla riconfigurazione del sistema durante l'istruttoria. AI

Misure di sicurezza Pubblica Amministrazione Comunicazione a terzi Lavoro pubblico Accountability Data breach Minimizzazione

€12K Leggi l'approfondimento →

Ammonimento Doc. 10266190
11/06/2026

Comune di Piacenza

Il Garante dichiara l'illiceità del trattamento dei dati personali (nomi e condizioni di revisione valutativa) di due dipendenti comunali notificati in unico verbale senza oscuramento, violando i principi di liceità e trasparenza. Nonostante il carattere colposo dell'errore e l'assenza di una base giuridica, il Garante ammonisce il Comune per la violazione, ritenendo sussistente una violazione minore. AI

Pubblica Amministrazione Comunicazione a terzi Lavoro pubblico Valutazioni Comuni

— Leggi l'approfondimento →

Sanzione Doc. 10262455
28/05/2026

Croce Rossa Italiana – Comitato regionale Toscana - Presidio Anna Torrigiani

Il Garante ha accertato la violazione dei principi di minimizzazione, integrità e riservatezza dei dati personali da parte della Croce Rossa Italiana – Comitato regionale Toscana - Presidio Anna Torrigiani per aver apposto un foglio con informazioni sulla condizione di HIV/HCV di una paziente sul vassoio del pasto, in violazione degli artt. 5 (par. 1, lett. c e f), 9 del Regolamento (UE) 2016/679 e dell'art. 75 del Codice Privacy. È stata inoltre accertata la violazione dell'art. 157 del Codice per il mancato riscontro alla richiesta di informazioni. Il Garante ha irrogato una sanzione complessiva di euro 700,00 e disposto la pubblicazione dell'ordinanza-ingiunzione sul sito internet dell'Autorità. AI

Dati sanitari Diagnosi HIV Minimizzazione

€700 Leggi l'approfondimento →

Sanzione Doc. 10262614
28/05/2026

Regione Autonoma della Sardegna

Il Garante dichiara l'illiceità del trattamento effettuato dalla Regione Autonoma della Sardegna per violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento (UE) 2016/679 nonché 2-ter del Codice Privacy. La violazione consiste nella trasmissione non autorizzata di dati relativi al rendimento lavorativo di una dipendente (scheda di valutazione della performance) all'Amministrazione presso cui la stessa aveva da poco preso servizio, mediante trasmissione a un indirizzo PEC istituzionale anziché a quello personale preventivamente indicato. Il Garante ordina il pagamento di una sanzione amministrativa pecuniaria di € 3.000,00, ritenuta effettiva, proporzionata e dissuasiva, e dispone la pubblicazione dell'ordinanza sul sito web del Garante. AI

Pubblica Amministrazione Lavoro pubblico

€3K Leggi l'approfondimento →

Sanzione Doc. 10262588
28/05/2026

Comune di Sciacca

Il Comune di Sciacca ha pubblicato sul proprio sito web istituzionale una determina dirigenziale riguardante le dimissioni volontarie di un dipendente, contenente i dati personali dello stesso, in violazione dei principi di liceità, correttezza, trasparenza e minimizzazione dei dati. AI

Trattamento e diffusione dei dati personali Lavoro pubblico

€6K Leggi l'approfondimento →

Parere Doc. 10259660
28/05/2026

Banca d'Italia

Il Garante esprime parere favorevole sullo schema di Regolamento della Banca d'Italia recante disposizioni sul trattamento dei dati personali effettuato nell'ambito delle attività di supporto all'Arbitro Bancario Finanziario (ABF). Lo schema disciplina il trattamento dei dati per: gestione della documentazione per nomina e rinnovo dei componenti del collegio ABF; gestione dei dati nei procedimenti ABF; analisi della documentazione tramite strumenti di ricerca avanzata e sistemi di IA. Il provvedimento, modificato secondo le osservazioni fornite dall'Ufficio, rispetta i principi di privacy by design e by default, minimizzazione dei dati, limitazione della finalità e trasparenza. Con riferimento ai trattamenti mediante IA, il Garante evidenzia l'importanza di misure quali l'anonimizzazione preventiva, l'autonomia decisionale umana, la supervisione multidisciplinare e il continuo monitoraggio della valutazione d'impatto sulla protezione dei dati. AI

Banche credito e finanza Particolari categorie di dati Pubblica Amministrazione Archivi e banche dati Conservazione di dati Informativa Banca d'Italia Accountability Intelligenza artificiale Minimizzazione

Favorevole Leggi l'approfondimento →

Avvertimento Doc. 10255494
14/05/2026

Myndoor S.r.l.

Il Garante avverte Myndoor S.r.l. in merito al rischio che la trasmissione di report aggregati contenenti dati analizzati mediante il sistema plug-in Myndoor agli enti e alle imprese che eventualmente li richiedano possa verosimilmente determinare una violazione della normativa sulla protezione dei dati personali e della dignità della persona che lavora. Il Garante dispone che la Società assicuri l'adozione di misure per prevenire qualsiasi forma di messa a disposizione dei dati degli utenti del plug-in in favore dei datori di lavoro, al fine di evitare che gli stessi vengano a conoscenza delle informazioni trattate mediante il sistema. AI

Comunicazione a terzi Lavoro dipendente

Avvertimento Leggi l'approfondimento →

Parere Doc. 10268762
14/05/2026

Conferenza delle Regioni e delle Province autonome

Il Garante esprime parere favorevole sullo schema-tipo di regolamento e sul relativo disciplinare tecnico per la disciplina del Registro Malattie Rare a livello regionale, finalizzato alla raccolta sistematica di dati anagrafici e sanitari per finalità di cura, ricerca scientifica e programmazione sanitaria. Il Garante riconosce che la versione proposta recepisce le osservazioni formulate nelle interlocuzioni, in particolare: la corretta distinzione delle basi giuridiche tra finalità di cura (art. 9, par. 2, lett. h) e par. 3 GDPR) e finalità di interesse pubblico rilevante; la chiarificazione dei titolari del trattamento e delle loro articolazioni operative; il recepimento integrale delle prescrizioni sul trattamento dei dati genetici; l'accesso ai dati pseudonimizzati solo quando dati anonimizzati non consentono di raggiungere gli obiettivi della ricerca; l'anonimizzazione irreversibile dei dati dei defunti una volta esaurita la finalità di valutazione del rischio eredo-familiare; significative modifiche al disciplinare tecnico in materia di sicurezza. Il Garante evidenzia tuttavia la necessità di correggere disallineamenti di drafting tra regolamento e disciplinare tecnico, in particolare nei paragrafi 4.8.1, 4.8.2, 4.8.3 e relativi richiami all'articolo 12 anziché 13 per le fonti dei dati, nonché la corretta numerazione dei paragrafi e correzione del titolo del paragrafo 4.12. AI

Particolari categorie di dati Dati sanitari Stato di salute Enti locali

Favorevole Leggi l'approfondimento →

Sanzione Doc. 10259296
14/05/2026

Emirates

Emirates ha violato il GDPR nel raccogliere dati sanitari di passeggeri a mobilità ridotta mediante il modulo MEDIF senza fornire adeguata informativa e senza sufficienti basi giuridiche trasparenti. La compagnia aerea ha richiesto la compilazione del modulo in assenza di informazioni chiare sul trattamento dei dati e senza rispettare i principi di liceità, trasparenza e correttezza, nonché le corrette tempistiche di conservazione dei dati. AI

Particolari categorie di dati Trasporti Disabilità

€180K Leggi l'approfondimento →

Ammonimento Doc. 10259305
14/05/2026

Comune di Reggio Calabria

Il Garante dichiara l'illiceità del trattamento dei dati personali effettuato dal Comune di Reggio Calabria mediante trasmissione di filmati di videosorveglianza all'Ufficio Motorizzazione Civile per procedimenti amministrativi relativi a violazioni del codice della strada, in violazione dei principi di liceità, correttezza e trasparenza e in assenza di base giuridica. Pur riconoscendo la violazione carattere colposo e la complessità giuridica della questione, il Garante ammonisce il Comune. AI

Pubblica Amministrazione Trasporti Videosorveglianza Comunicazione a terzi Comuni

Accertamento di violazione Leggi l'approfondimento →

Sanzione Doc. 10259162
14/05/2026

Comune di Ventasso

Il Garante dichiara l'illiceità del trattamento effettuato dal Comune di Ventasso per violazione degli artt. 5, 6 e 9 del Regolamento (UE) 2016/679 nonché dell'art. 2-ter e 2-septies, comma 8 del d.lgs. 196/2003. La violazione consiste nella pubblicazione online dell'elenco dei candidati ammessi a una procedura concorsuale riservata ai disabili, nella quale erano indicati giorno, ora e luogo della convocazione, rivelando indirettamente dati relativi alla salute di 12 interessati. La pubblicazione è avvenuta dal XX al XX sulla pagina web del Comune e successivamente è rimasta accessibile tramite link diretto fino alla segnalazione del Garante nel XX. Il Garante ritiene la violazione di gravità media, considerando le difficoltà organizzative del Comune derivanti dalla fusione con l'Unione Montana, la collaborazione prestata, l'assenza di precedenti pertinenti violazioni e le iniziative intraprese per conformarsi alla normativa. Irriga una sanzione di € 8.000,00. AI

Trattamento e diffusione dei dati personali Lavoro pubblico

€8K Leggi l'approfondimento →

Sanzione Doc. 10262049
14/05/2026

A.O.R.N. Azienda ospedaliera dei colli

Il Garante dichiara l'illiceità del trattamento di dati personali effettuato mediante il dossier sanitario ASAP_sio gestito dall'Azienda per violazioni relative a: mancanza di consenso specifico per la consultazione di dati pregressi; visibilità eccessiva dei dati ai professionisti sanitari attraverso la funzione ricerca paziente; accesso ai dossier di pazienti non in cura presso l'operatore; insufficienti misure di sicurezza e transparency. Irrogata sanzione di € 15.000,00. AI

Sanità e ricerca scientifica Dati sanitari Dossier sanitario

€15K Leggi l'approfondimento →

Sanzione Doc. 10251858
29/04/2026

Dott.ssa Immacolata Guzzo

La dott.ssa Guzzo ha violato i principi di liceità, correttezza e trasparenza, nonché il divieto di trattamento di dati sensibili, pubblicando su un sito congressuale un poster contente la fotografia di un minore defunto con informazioni relative alla sua salute, senza il consenso esplicito della madre per tale utilizzo. Sebbene i dati siano stati pseudonimizzati e la dottoressa abbia agito in buona fede, ritendo di aver anonimizzato adeguatamente i dati, la condotta ha costituito violazione degli artt. 5, par. 1, lett. a), b) e c) e 9 del GDPR nonché dell'art. 2-septies, comma 8, del Codice Privacy. La dottoressa ha prontamente richiesto la rimozione dei contenuti, fatto valutato favorevolmente nella quantificazione della sanzione. AI

Minori Sanità e ricerca scientifica Persone defunte Cartelle cliniche dei defunti Dati sanitari Foto e filmati Aziende sanitarie

€5K Leggi l'approfondimento →

Sanzione Doc. 10251650
29/04/2026

Istituto Comprensivo Statale Montelibretti

Il Garante accerta la violazione del Regolamento UE 2016/679 (articoli 5, 6, 9) e del Codice Privacy per la pubblicazione sul sito istituzionale di una circolare recante le iniziali del nome e cognome di un minore, il riferimento a documentazione medica e alla classe di appartenenza, in assenza di idonee misure di anonimizzazione. Quantunque l'Istituto abbia agito in buona fede e rimosso tempestivamente il documento, la diffusione di categorie particolari di dati di un soggetto minorenne costituisce violazione grave. Viene inflitta sanzione di € 4.000,00 considerando le circostanze attenuanti (piccole dimensioni dell'ente, periodo limitato di diffusione, assenza di precedenti, impegni assunti per il rafforzamento delle misure organizzative interne). AI

Dati sanitari Scuola Studenti Tutela dei minori

€4K Leggi l'approfondimento →

Sanzione Doc. 10254256
29/04/2026

Ministero della Giustizia

Il Garante dichiara illecito il trattamento dei dati personali effettuato dal Ministero della Giustizia attraverso la diffusione, presso la bacheca della Casa Circondariale Cosenza "Sergio Cosmai" e alle organizzazioni sindacali, di un ordine di servizio contenente informazioni sulla salute di un dipendente (riferimenti alle "condizioni fisiche", alle "esigenze di salute" e all'"alternanza della postura"), in violazione degli articoli 5, paragrafo 1, lettera a), 6 e 9 del GDPR e dell'articolo 2-ter del Codice Privacy. Il trattamento è avvenuto in assenza di una idonea base giuridica e senza rispetto dei principi di liceità, correttezza e trasparenza. Il Garante iroga una sanzione amministrativa pecuniaria di € 12.000,00. AI

Pubblica Amministrazione Lavoro pubblico

€12K Leggi l'approfondimento →

Ammonimento Doc. 10254140
17/04/2026

Ministero dell'Interno - Dipartimento della Pubblica Sicurezza - Polizia di Stato

Il Garante dichiara illecito il trattamento di dati personali (assenze per malattia) effettuato dalla Polizia di Stato in relazione a procedimenti disciplinari, per violazione dei principi di liceità, correttezza e trasparenza, nonché per tardivo riscontro alle richieste di esercizio dei diritti degli interessati. Il Ministero è ammonito per le violazioni riscontrate. AI

Pubblica Amministrazione Dati sanitari Assenze Lavoro pubblico

— Leggi l'approfondimento →

Parere Doc. 10247485
17/04/2026

Provincia Autonoma di Trento

Il Garante esprime parere favorevole sullo svolgimento del lavoro statistico 'IND-0465 Rilevamento flussi e calcolo indicatori statistici del traffico veicolare provinciale', inserito nello schema di Programma statistico provinciale 2025-2027 della Provincia Autonoma di Trento, in seguito alla verifica della conformità dei trattamenti alle disposizioni in materia di protezione dei dati personali, in particolare con riferimento ai principi di proporzionalità, minimizzazione, pseudonimizzazione e anonimizzazione dei dati relativi ai veicoli in transito sulla rete stradale provinciale rilevati mediante telecamere intelligenti. AI

Sanità e ricerca scientifica ISTAT

Favorevole Leggi l'approfondimento →

Parere Doc. 10249112
17/04/2026

Ministero delle Imprese e del Made in Italy

Il Garante esprime parere con condizioni sullo schema di decreto che riforma l'accesso alla professione di agente d'affari in mediazione. Il parere individua profili di criticità relativi alla protezione dei dati personali nella gestione del registro telematico dei praticanti presso le Camere di Commercio. Il Garante richiede integrazioni normative per assicurare conformità al Regolamento (UE) 2016/679 e al Codice Privacy, riguardanti: la disciplina organica del trattamento dei dati, l'identificazione dei titolari e responsabili del trattamento, la minimizzazione dei dati sanitari, il parere preventivo del Garante sul decreto ministeriale attuativo, e la valutazione di impatto sulla protezione dei dati secondo l'articolo 35 del Regolamento. AI

Archivi e banche dati Pubblici registri

Parere con condizioni Leggi l'approfondimento →

Sanzione Doc. 10251748
17/04/2026

Comune di Campo Calabro

Il Garante dichiara l'illiceità del trattamento effettuato dal Comune di Campo Calabro per violazione degli artt. 5, par. 1, lett. a) e c) e 6 del Regolamento nonché dell'art. 2-ter del Codice. Il Comune ha pubblicato sull'Albo pretorio online una Determinazione contenente dati personali identificativi di undici lavoratori (posizione, nominativo e punteggio) relativi alla selezione per differenziale stipendiale, senza applicare il principio di minimizzazione dei dati. Il Garante ordina il pagamento di una sanzione amministrativa pecuniaria di € 6.000,00 e dispone la pubblicazione dell'ordinanza sul sito web del Garante. Il Comune ha tempestivamente oscurato i dati personali e ha assunto iniziative organizzative di conformità e formazione. AI

Lavoro pubblico Trasparenza amministrativa

€6K Leggi l'approfondimento →

Sanzione Doc. 10244114
26/03/2026

Azienda Speciale Messina Social City

Il Garante accerta la violazione della normativa sulla protezione dei dati personali per la pubblicazione su Facebook di circa 24 foto di minori assistiti da servizi di educativa domiciliare, senza adeguate basi giuridiche e misure di protezione. L'Azienda è condannata al pagamento di una sanzione di 10.000 euro e all'immediata rimozione dei contenuti ancora visibili, nonché all'adozione di misure correttive conformi alla normativa. AI

Pubblicazioni online Enti locali Comuni

€10K Leggi l'approfondimento →

Parere Doc. 10242702
26/03/2026

Presidenza del Consiglio dei ministri

Il Garante esprime parere favorevole allo schema di decreto legislativo di recepimento della direttiva (UE) 2023/970 sulla parità retributiva tra uomini e donne, subordinatamente a condizioni correttive in materia di protezione dei dati. Lo schema disciplina obblighi di trasparenza retributiva per datori di lavoro pubblici e privati, ma necessita di integrazioni relative all'anonimizzazione dei dati, ai tempi di conservazione, alle valutazioni di impatto e alle garanzie nel trattamento dei dati sensibili. AI

Lavoro e previdenza Lavoro privato Lavoro pubblico

Favorevole Leggi l'approfondimento →

Prescrizione Doc. 10244097
26/03/2026

Comune di Messina

Il Garante rileva l'illiceità del trattamento di dati personali effettuato dal Comune di Messina, titolare, che ha omesso di stipulare un accordo ex art. 28 GDPR con l'Azienda Speciale Messina Social City, responsabile del trattamento dei dati degli assistiti ai servizi socio-assistenziali. La violazione riguarda anche la pubblicazione non autorizzata di foto di minori su Facebook. Il Garante ingiunge al Comune di verificare la cancellazione dei post non conformi e di comunicare le misure adottate entro 30 giorni. AI

Pubblicazioni online Enti locali Comuni

— Leggi l'approfondimento →

Parere Doc. 10238220
26/03/2026

Ministero dell'Istruzione e del Merito

Il Garante esprime parere favorevole allo schema di decreto del MIM che disciplina il funzionamento del servizio digitale «AscoltaMI» per l'erogazione di sostegno psicologico agli studenti. Il provvedimento assicura il rispetto del GDPR attraverso misure tecniche e organizzative appropriate, limitazione della finalità e minimizzazione dei dati, con particolare attenzione alla tutela dei dati sulla salute e alla riservatezza delle comunicazioni psicologiche. AI

Istruzione e formazione Minori Pubblica Amministrazione Archivi e banche dati Scuola Studenti

Favorevole Leggi l'approfondimento →

Sanzione Doc. 10238270
26/03/2026

Eni S.p.A.

Il Garante accerta la violazione degli artt. 5 par. 1 lett. a) e 6 par. 1 GDPR per la pubblicazione integrale di un atto di citazione contenente dati personali identificativi di 12 interessati (nomi, luogo e data di nascita, codice fiscale, indirizzi) sul sito web della Società in relazione a una causa di climate litigation. Eni è sanzionata con €96.000 per il trattamento illecito e ingiunto il pagamento entro 30 giorni. AI

Imprese Internet e social media Pubblicazioni online

€96K Leggi l'approfondimento →

Sanzione Doc. 10246037
26/03/2026

Comune di Cassino

Il Garante ha sanzionato il Comune di Cassino per la diffusione online di dati personali identificativi e reddituali di un soggetto, mantenuti sul sito istituzionale per oltre un anno e mezzo senza base giuridica idonea e in violazione del principio di minimizzazione. Sebbene l'ente abbia successivamente rimosso i dati e collaborato nel procedimento, la violazione è stata ritenuta di gravità media e colposa, derivante dalla convinzione errata di dover pubblicare i documenti per obbligo di trasparenza. AI

Internet e social media Pubblica Amministrazione Trasparenza amministrativa

€2,5K Leggi l'approfondimento →

Sanzione Doc. 10242571
26/03/2026

Comune di XX

Il Garante ha accertato la trasmissione illegittima del certificato telematico di malattia di una segretaria comunale alla Prefettura e al segretario generale sostituto in assenza di idonea base giuridica. Pur riconoscendo il carattere isolato dell'errore materiale e le misure correttive adottate dall'ente, ha irrogato una sanzione di 3.000 euro per violazione dei principi di liceità, correttezza e minimizzazione dei dati. AI

Pubblica Amministrazione Lavoro pubblico

€3K Leggi l'approfondimento →

Sanzione Doc. 10243180
26/03/2026

Comune di XX

Il Garante accerta la violazione dei principi di liceità, correttezza, trasparenza e minimizzazione dei dati per la pubblicazione nell'Albo Pretorio online di delibere e determinazioni contenenti dati personali delicati relativi alla salute, stato di gravidanza, maternità e congedo parentale di una dipendente comunale. Sebbene il Comune abbia adottato misure correttive tempestivamente e la violazione presenti carattere colposo, viene inflitta una sanzione di 5.000 euro quale sanzione effettiva, proporzionata e dissuasiva. AI

Pubblica Amministrazione Lavoro pubblico

€5K Leggi l'approfondimento →

Parere Doc. 10237769
12/03/2026

Provincia Autonoma di Trento

Il Garante esprime parere favorevole sullo schema di regolamento attuativo dell'articolo 4 della legge provinciale 2 marzo 2011, n. 1, in materia di servizi di conciliazione educativi e di socializzazione durante la pausa estiva scolastica, subordinatamente a specifiche integrazioni normative. Lo schema necessita di correttivi relativi ai presupposti di liceità del trattamento dei dati particolari, alle fonti da cui sono tratti i dati, alle modalità concrete di trattamento, ai tempi di conservazione e alle misure di sicurezza da adottare. AI

Minori Province Servizi

Favorevole Leggi l'approfondimento →

Sanzione Doc. 10233345
12/03/2026

Bakeca s.r.l.

Il Garante ha accertato violazioni degli artt. 5, 24, 25 e 32 GDPR da parte di Bakeca per carenza di misure tecniche e organizzative idonee a impedire la pubblicazione di annunci contenenti dati personali di terzi senza consenso, in particolare per le categorie sensibili. È stata irrogata una sanzione di 5.000 euro e imposte prescrizioni sulla verifica dell'effettivo titolare dei numeri telefonici in sede di pubblicazione. AI

Particolari categorie di dati Consenso Vita sessuale

€5K Leggi l'approfondimento →

Parere Doc. 10264130
12/03/2026

Comune di Bergamo

Il Garante esprime parere sfavorevole sulla DPIA relativa all'utilizzo di bodycam da parte della Polizia Locale di Bergamo. La valutazione critica riguarda principalmente l'insufficiente approfondimento degli aspetti di sicurezza in relazione al rischio elevato dei dati trattati, la mancanza di controllo esclusivo sulle chiavi crittografiche affidate a un provider extra-UE, e la configurazione di trasferimento dati verso Paesi terzi in violazione dell'articolo 31 del Decreto. AI

Dati giudiziari Videosorveglianza Enti locali Wearable devices DPIA

Negativo Leggi l'approfondimento →

Sanzione Doc. 10240343
12/03/2026

Liceo Scientifico Morgagni

Il Garante accerta il trattamento illecito di dati personali e categorie particolari (dati sulla disabilità) di una studentessa, distribuiti su carta riciclata durante un'assemblea scolastica. Nonostante il carattere colposo della violazione e le misure di mitigazione adottate dall'Istituto, viene comminata una sanzione pecuniaria di 2.000 euro con pubblicazione del provvedimento. AI

Particolari categorie di dati Minori Scuola Studenti

€2K Leggi l'approfondimento →

Sanzione Doc. 10240688
12/03/2026

INPS - Istituto nazionale previdenza sociale

Il Garante dichiara illeciti i trattamenti dati effettuati dall'INPS nella procedura DSU precompilata dell'ISEE, che hanno consentito la visualizzazione non autorizzata dei dati anagrafici (codice fiscale, cognome, nome, data di nascita) di 47.464 interessati appartenenti a comunità conviventi (strutture di riposo, comunità religiose, contesti di cura e assistenza). La violazione è derivata da malfunzionamento tecnico nella precompilazione dei nuclei familiari basata su convivenze anagrafiche acquisite dall'ANPR. Il Garante applica una sanzione di 40.000 euro per le violazioni di liceità, base giuridica, minimizzazione dei dati e accountability, e dirige un ammonimento per aver consentito l'accesso ai servizi online da parte di minori. È disposta la pubblicazione del provvedimento. AI

Dati giudiziari Particolari categorie di dati Minori Pubblica Amministrazione Anagrafi Stato di salute Previdenza INPS Accountability Data breach

€40K Leggi l'approfondimento →

Sanzione Doc. 10240362
12/03/2026

Comune di Sutri

Il Garante ha accertato l'illiceità della pubblicazione online di determinazioni e delibere contenenti dati personali di un dipendente, inclusi riferimenti a dati sulla salute, per violazione dei principi di minimizzazione e trasparenza. Il Comune ha pubblicato i documenti nella sezione Amministrazione trasparente ritenendo di adempiere obblighi di pubblicità legale, ma senza verificare la necessità dei dati personali esposti. È stata comminata una sanzione di euro 2.000. AI

Lavoro pubblico

€2K Leggi l'approfondimento →

Parere Doc. 10236908
06/03/2026

Consiglio nazionale dei dottori commercialisti e degli esperti contabili

Il Garante nega l'accesso civico generalizzato a documenti relativi a procedimenti disciplinari, ritenendo che la loro ostensione comporterebbe un'interferenza ingiustificata e sproporzionata nei diritti e libertà dei controinteressati, in violazione della normativa sulla protezione dei dati personali. Il Garante chiarisce inoltre che la valutazione dell'interesse qualificato ai fini dell'accesso documentale ex lege 241/1990 resta di competenza dell'amministrazione adita e non del Garante. Nega altresì la possibilità di un accesso civico parziale con oscuramento dei dati, poiché inidoneo a impedire la re-identificazione dei soggetti interessati. AI

Pubblica Amministrazione Trasparenza amministrativa Accesso civico

Negativo Leggi l'approfondimento →

Sanzione Doc. 10235715
26/02/2026

Ministero delle Imprese e del Made in Italy

Il Garante sanziona il MIMIT per aver pubblicato online, tramite Formez PA, la graduatoria di un concorso pubblico contenente dati personali eccedenti e non necessari, inclusi codici fiscali e informazioni idonee a rivelare dati sensibili di 133 partecipanti, per circa un anno. Il trattamento ha violato i principi di necessarietà e liceità, nonché il diritto di accesso ai dati. La sanzione ammonta a 15.000 euro, con obbligo di pubblicazione sul sito del Garante. AI

Pubblica Amministrazione Graduatorie di concorsi Lavoro pubblico

€15K Leggi l'approfondimento →

Sanzione Doc. 10233224
26/02/2026

Depac Società Cooperativa Sociale a r.l.

Il Garante ha sanzionato Depac per il trattamento illecito di dati biometrici (impronte digitali) di sei dipendenti presso il Comune di XX, effettuato senza base legittima, informativa agli interessati, valutazione di impatto e registro delle attività. La società ha installato due dispositivi di rilevamento biometrico dal settembre 2024 per il controllo degli orari, violando i principi di trasparenza, minimizzazione e le norme su dati biometrici. Il Garante ordina la cancellazione immediata dei dati entro 60 giorni. AI

Biometria Informativa Lavoro privato

€15K Leggi l'approfondimento →

Sanzione Doc. 10234928
26/02/2026

Dedalus Italia S.p.A.

Il Garante sanziona Dedalus Italia S.p.A. con 32.000 euro per violazione dell'art. 32 GDPR derivante da un'anomalia software nel sistema WHR-Time che ha esposto dati personali (richieste di assenza e permessi) del personale sanitario della Regione Emilia Romagna ai colleghi. L'anomalia, causata da un errore umano durante un aggiornamento, è stata risolta in circa 5 ore dalla segnalazione. La violazione ha riguardato anche categorie particolari di dati relativi a permessi ex legge 104/1992. AI

Misure di sicurezza Lavoro pubblico Data breach

€32K Leggi l'approfondimento →

Ammonimento Doc. 10232620
26/02/2026

Azienda Ospedaliero Universitaria di Sassari

Il Garante dichiara illecito il trattamento di dati sanitari da parte dell'AOU di Sassari, che ha inserito erroneamente esami diagnostici di una paziente nella cartella clinica di un'altra paziente. L'Autorità qualifica la violazione come minore e ammonisce il titolare, ritenendo sufficienti le misure correttive già implementate e l'assenza di dolo. AI

Sanità e ricerca scientifica Dati sanitari Stato di salute Pazienti

— Leggi l'approfondimento →

Prescrizione Doc. 10224096
24/02/2026

Amazon Italia Logistica s.r.l.

Il Garante ordina ad Amazon la limitazione definitiva del trattamento dei dati personali contenuti nelle note in campi liberi della piattaforma XX, che raccolgono informazioni su patologie, attività sindacali e vita personale dei lavoratori del magazzino di Passo Corese. Ordina inoltre la limitazione del trattamento effettuato mediante quattro telecamere posizionate in prossimità di bagni e aree riservate ai dipendenti. L'azienda deve verificare la liceità di anaoghi trattamenti in tutte le sedi che utilizzano la piattaforma XX entro sette giorni. AI

Particolari categorie di dati Imprese Videosorveglianza Stato di salute Lavoro privato

— Leggi l'approfondimento →

Ammonimento Doc. 10225045
12/02/2026

Azienda Sanitaria Locale Verbanio Cusio Ossola

L'ASL ha comunicato a un creditore procedente l'informazione che un dipendente, a seguito di mobilità, prestava servizio presso un'altra amministrazione, allo scopo di agevolare il recupero di debiti tributari del dipendente stesso. Il Garante ha ritenuto tale comunicazione illecita per mancanza di base giuridica e violazione dei principi di liceità, correttezza e trasparenza, emettendo un ammonimento. AI

Pubblica Amministrazione Lavoro pubblico

— Leggi l'approfondimento →

Parere Doc. 10226904
12/02/2026

Dipartimento per la trasformazione digitale della Presidenza del Consiglio dei Ministri

Il Garante esprime parere favorevole sullo schema di decreto che disciplina le modalità di funzionamento della Piattaforma di gestione deleghe, purché vengano rispettate specifiche garanzie in materia di protezione dei dati personali. Lo schema prevede un sistema di deleghe per l'accesso ai servizi digitali della pubblica amministrazione con limitazioni relative a deleghe professionali e servizi destinati a professionisti. Il Garante si riserva di valutare ulteriormente i trattamenti concreti una volta che la Piattaforma sarà operativa. AI

Minori Misure di sicurezza Pubblica Amministrazione Anagrafi Archivi e banche dati Conservazione di dati Dati sanitari Fascicolo personale Enti pubblici Comuni Accountability Regioni DPIA SPID Minimizzazione

Favorevole Leggi l'approfondimento →

Linea guida Doc. 10221629
12/02/2026

Aziende sanitarie; Ministero della salute; Regioni e Province autonome

Il Garante adotta linee guida che consentono alle aziende sanitarie di utilizzare i dati di contatto dei pazienti acquisiti per finalità di cura anche per l'invio di SMS di promozione all'adesione a programmi sanitari pubblici di prevenzione, a condizione che siano rispettate dieci specifiche misure di garanzia volte a proteggere i diritti degli interessati, in particolare escludendo dati sensibili e prevedendo il diritto di opposizione. AI

Sanità e ricerca scientifica Dati sanitari SMS Aziende sanitarie

— Leggi l'approfondimento →

Parere Doc. 10219948
29/01/2026

Agenzia per l'Italia digitale (AgID)

Il Garante esprime parere favorevole sullo schema di Linee Guida AgID sull'accessibilità dei servizi in attuazione dell'art. 21 d.lgs. n. 82 del 2022. Il Garante ha già fornito indicazioni durante le interlocuzioni informali per rendere i trattamenti conformi ai principi di privacy by design e privacy by default, in particolare in merito alla protezione dei dati delle persone con disabilità e alla gestione della piattaforma di vigilanza con adeguate misure di sicurezza. AI

Misure di sicurezza Pubblica Amministrazione Disabilità Accountability

Favorevole Leggi l'approfondimento →

Sanzione Doc. 10221611
29/01/2026

Università Telematica e-Campus

Il Garante sanziona e-Campus per aver utilizzato un sistema di riconoscimento facciale biometrico per verificare la frequenza ai corsi di abilitazione all'insegnamento senza base giuridica legittima. L'Ateneo ha violato i principi di liceità, correttezza, trasparenza e i requisiti di base giuridica, nonché omesso la valutazione di impatto sulla protezione dei dati. Condotta colposa motivata da errore di diritto, cessata prima della conclusione dell'istruttoria. AI

Biometria Istruzione e formazione Università DPIA

€50K Leggi l'approfondimento →

Sanzione Doc. 10220271
29/01/2026

dott. Paolo Montemurro

Il Garante accerta la violazione degli articoli 5 e 9 GDPR e dell'art. 2-septies del Codice Privacy per la diffusione non autorizzata di fotografie relative a un intervento chirurgico su Instagram. Sebbene le immagini fossero state rimosse tempestivamente e il professionista abbia agito con legittimo affidamento in un modello di consenso fornito da AICPE, il Garante riconosce un mancato accertamento effettivo dell'anonimizzazione. È comminata una sanzione di 5.000 euro con prescrizioni correttive entro 90 giorni. AI

Sanità e ricerca scientifica Dati sanitari Aziende sanitarie

€5K Leggi l'approfondimento →

Sanzione Doc. 10221968
29/01/2026

Istituto tecnico industriale statale Stanislao Cannizzaro di Catania

L'Istituto ha pubblicato sul sito web istituzionale una circolare contenente nominativi, classi e orari dei GLO di 51 studenti con disabilità, insieme ai nomi degli insegnanti di sostegno. La violazione è stata causata da errore materiale nella comunicazione interna e in un errore tecnico nella gestione del sistema WordPress. Rimosso il contenuto dalla navigazione ma il file PDF è rimasto archiviato e indicizzabile. Il Garante accerta l'illiceità del trattamento e comminata sanzione di euro 10.000, considerando come circostanze attenuanti la breve durata della diffusione, l'assenza di precedenti violazioni, le misure correttive adottate e la cooperazione dell'Istituto. AI

Minori Dati sanitari Scuola Studenti

€10K Leggi l'approfondimento →

Parere Doc. 10262947
29/01/2026

Ministero della Giustizia

Il Garante esprime parere favorevole sullo schema di decreto direttoriale relativo al trattamento dei dati personali per la tenuta dell'elenco delle strutture residenziali per l'accoglienza e il reinserimento sociale delle persone detenute adulte. La base giuridica è idonea, i dati trattati sono limitati alle finalità istituzionali e sono previste adeguate misure di protezione. È tuttavia richiesta una modifica formale dell'articolo 3 per indicare correttamente il Ministero della Giustizia come titolare del trattamento, anziché il Dipartimento per la giustizia minorile e di comunità. AI

Giustizia

Favorevole Leggi l'approfondimento →

Ammonimento Doc. 10221777
29/01/2026

Istituto d'Istruzione superiore statale Enrico Fermi – Leonardo da Vinci

L'Istituto ha comunicato illegittimamente dati personali e dati relativi alla salute del figlio dei ricorrenti ai compagni di classe tramite email sull'invito al PEI e ha inviato a tutti i genitori della classe l'elenco degli alunni con date di nascita, in violazione dei principi di liceità e minimizzazione. Il Garante dichiara illecita la condotta e ammonisce l'Istituto, ritenendo la violazione minore vista la natura dell'errore materiale e le misure correttive adottate. AI

Dati sanitari Scuola Studenti

— Leggi l'approfondimento →

Sanzione Doc. 10218564
16/01/2026

Azienda Ospedaliera S. Pio di Benevento

L'Azienda Ospedaliera ha violato le norme sulla protezione dei dati inviando via PEC una Consulenza tecnica di parte contenente dati personali e informazioni sulla salute di un dipendente a diversi uffici con accesso indiscriminato. Il Garante ha accertato l'illiceità del trattamento per assenza di base giuridica e ha comminato una sanzione di 6.000 euro, considerando fattori attenuanti quali la natura limitata della violazione, l'assenza di dolo e la cooperazione con l'Autorità. AI

Particolari categorie di dati Comunicazione a terzi Stato di salute Lavoro pubblico

€6K Leggi l'approfondimento →

Sanzione Doc. 10213894
16/01/2026

Associazione Turistica Pro Loco di Cittareale

Il Garante ha accertato l'illiceità del trattamento effettuato dall'Associazione, che ha diffuso i dati identificativi di 23 soci mediante affissione in spazi pubblici e pubblicazione sul sito web, in violazione dei principi di minimizzazione e liceità del GDPR. L'Associazione ha inoltre omesso di collaborare con l'Autorità fornendo le informazioni richieste. È stata inflitta sanzione di 600 euro. AI

Associazioni Minimizzazione

€600 Leggi l'approfondimento →

Ammonimento Doc. 10220288
16/01/2026

Istituto Comprensivo Statale Alghero 2

Il Garante ha accertato la violazione degli artt. 5, 6 e 9 GDPR e dell'art. 2-ter del Codice Privacy per la divulgazione non autorizzata di dati sanitari di una docente a una collega mediante una nota di riscontro unificata a due reclami sindacali distinti. L'Istituto ha commesso un errore di valutazione in buona fede nel consolidare le risposte ai due reclami senza separare adeguatamente i dati personali e sensibili degli interessati. Il Garante ha qualificato la violazione come minore, considerando il carattere episodico e colposo della condotta, nonché le misure correttive successivamente adottate dall'Istituto. AI

Pubblica Amministrazione Dati sanitari Assenze Lavoro pubblico

— Leggi l'approfondimento →

Art. 9 GDPR – Trattamento di categorie particolari di dati personali

Dove si trova nel GDPR

Principi

Richiamato spesso insieme a

I provvedimenti

Comune di Desenzano del Garda

Azienda Tutela della Salute Liguria

Avv. XX

Agenzia Regionale per il lavoro dell'Emilia Romagna

Azienda sanitaria universitaria Friuli centrale (ASUFC)

E-distribuzione S.p.A.; Enel Global Services s.r.l.

Regione Veneto

Azienda Ospedaliero-Universitaria di Bologna IRCCS

Istituto Omnicomprensivo Ancel Keys di Castelnuovo Cilento (SA)

INPS

Comune di Chivasso

Istituto Omnicomprensivo Scuola Europea di Brindisi

Comune di Villaputzu

Comune di San Genesio ed Uniti

Azienda sanitaria universitaria Giuliano Isontina

ANAC

Società Editoriale Il Fatto S.p.A.

SanitaService Asl Le s.r.l. Unipersonale

Comune di Sant'Angelo Lodigiano - Responsabile della prevenzione della corruzione e della trasparenza

Città Metropolitana di Sassari

Comune di Piacenza

Croce Rossa Italiana – Comitato regionale Toscana - Presidio Anna Torrigiani

Regione Autonoma della Sardegna

Comune di Sciacca

Banca d'Italia

Myndoor S.r.l.

Conferenza delle Regioni e delle Province autonome

Emirates

Comune di Reggio Calabria

Comune di Ventasso

A.O.R.N. Azienda ospedaliera dei colli

Dott.ssa Immacolata Guzzo

Istituto Comprensivo Statale Montelibretti

Ministero dell'Interno - Dipartimento della Pubblica Sicurezza - Polizia di Stato

Comune di Campo Calabro

Azienda Speciale Messina Social City

Comune di Messina

Eni S.p.A.

Comune di Cassino

Comune di XX

Comune di XX

Bakeca s.r.l.

Comune di Bergamo

Liceo Scientifico Morgagni

INPS - Istituto nazionale previdenza sociale

Comune di Sutri

Consiglio nazionale dei dottori commercialisti e degli esperti contabili

Depac Società Cooperativa Sociale a r.l.

Dedalus Italia S.p.A.

Azienda Ospedaliero Universitaria di Sassari

Amazon Italia Logistica s.r.l.

Azienda Sanitaria Locale Verbanio Cusio Ossola

Dipartimento per la trasformazione digitale della Presidenza del Consiglio dei Ministri

Aziende sanitarie; Ministero della salute; Regioni e Province autonome

Agenzia per l'Italia digitale (AgID)

Università Telematica e-Campus

dott. Paolo Montemurro

Istituto tecnico industriale statale Stanislao Cannizzaro di Catania

Istituto d'Istruzione superiore statale Enrico Fermi – Leonardo da Vinci

Azienda Ospedaliera S. Pio di Benevento

Associazione Turistica Pro Loco di Cittareale

Istituto Comprensivo Statale Alghero 2

Non perderti nessun provvedimento