Tutte le prescrizioni del Garante Privacy
64 provvedimenti
23/07/2026
R.T.I. - Reti Televisive Italiane S.p.A.
Il Garante ammonisce R.T.I. per aver creato e diffuso deepfake del giornalista Enrico Mentana nei video del programma Striscia la Notizia, alterandone l'immagine e la voce senza disclaimer sufficientemente chiari, violando i principi di liceità, correttezza e trasparenza. È stato inoltre disposto il divieto di ulteriore trattamento dei dati del ricorrente con le medesime modalità, salvo conservazione per usi giudiziari. AI
03/07/2026
RTI S.p.a.
Il Garante accerta la violazione della disciplina sulla protezione dei dati personali e sulla dignità della vittima per la diffusione di immagini del cadavere di Chiara Poggi in servizi giornalistici televisivi. Dispone il divieto di ulteriore diffusione delle immagini delle macchie di sangue, del corpo della vittima e della ferita, ritenute eccedenti rispetto all'essenzialità dell'informazione. AI
03/07/2026
UGL Terziario
Il Garante ha rilevato l'illiceità del trattamento dati effettuato da UGL Terziario, relativo all'accesso all'account di posta elettronica individualizzato assegnato al ricorrente dopo la sua dimissione da dirigente sindacale e il mancato riscontro adeguato all'istanza di accesso ai dati. La violazione riguarda l'assenza di idonea informativa e il diniego non correttamente motivato del diritto di accesso. L'Autorità ha qualificato l'infrazione come violazione minore e ha emesso un ammonimento al sindacato. AI
18/06/2026
SanitaService Asl Le s.r.l. Unipersonale
Il Garante ha accertato la violazione degli artt. 5, par. 1, lett. a), 6 e 9, par. 2, lett. b), del Regolamento (UE) 2016/679, nonché dell'art. 2-ter del Codice della privacy, da parte di SanitaService Asl Le s.r.l. Unipersonale per aver consentito l'affissione in bacheca aziendale di un'email contenente dati personali relativi allo stato di salute di due dipendenti (assenze per motivi di salute), in assenza di base giuridica e non conforme al principio di liceità, correttezza e trasparenza. L'email è rimasta affissa per un periodo compreso tra una settimana e circa un mese. Il coordinatore che ha affisso il documento ha agito di propria iniziativa, non conforme alle procedure aziendali. La condotta è stata qualificata come violazione minore. AI
11/06/2026
Comune di Piacenza
Il Garante dichiara l'illiceità del trattamento dei dati personali (nomi e condizioni di revisione valutativa) di due dipendenti comunali notificati in unico verbale senza oscuramento, violando i principi di liceità e trasparenza. Nonostante il carattere colposo dell'errore e l'assenza di una base giuridica, il Garante ammonisce il Comune per la violazione, ritenendo sussistente una violazione minore. AI
11/06/2026
Agenzia Italiana del Farmaco (AIFA)
Il Garante dichiara l'illiceità del trattamento dei dati personali effettuato dall'AIFA per violazione dell'art. 12, parr. 3 e 4, del Regolamento (UE) 2016/679, non avendo fornito riscontro all'istanza di accesso ai dati personali presentata dall'interessato nei termini previsti. L'AIFA ha risposto solo a seguito dell'invito formulato dall'Autorità. Il Garante ammonisce l'AIFA per la violazione, qualificata come violazione minore. Dispone la pubblicazione del provvedimento sul sito internet dell'Autorità e l'annotazione delle violazioni nel registro interno. AI
11/06/2026
Geox S.p.A.
Reclamo presentato da una cittadina francese alla CNIL relativo alla ricezione di sei messaggi promozionali via SMS da parte di Geox S.p.A., nonostante l'esercizio ripetuto del diritto di opposizione. Il Garante, quale autorità capofila per trattamento transfrontaliero, ha chiuso il procedimento senza misure correttive in quanto la mancata cancellazione era stata causata da errore tecnico del sistema di gestione della blacklist e successiva mancata comunicazione del provider francese, il dato era stato già cancellato prima dell'intervento del Garante, la criticità era isolata, senza precedenti analoghi, e il danno effettivo risultava modesto. AI
11/06/2026
Persona fisica
Il Garante dichiara illecita la condotta del titolare del trattamento consistita nella pubblicazione di dati personali di soggetti minorenni (nome, cognome, data di nascita) su un sito internet dedicato a ranking e competizioni sportive, in assenza di idonea base giuridica, del principio di minimizzazione, di informativa privacy e di criteri certi di conservazione. Prende atto della rimozione integrale dei dati e della sospensione del sito, e rivolge ammonimento al titolare rimandolo al rispetto dei principi di liceità, correttezza e minimizzazione nei futuri trattamenti, con particolare richiamo all'acquisizione del consenso specifico degli interessati e dei genitori per i minori. AI
28/05/2026
Il Sole24ORE S.p.A.
Il Garante accerta le violazioni degli artt. 6, 24, 25 e 32 del Regolamento e 130 del Codice Privacy a carico di Il Sole24ORE S.p.A. per aver inviato comunicazioni commerciali via mail senza idonea base giuridica e per aver adottato misure tecniche ed organizzative non idonee a impedire tali violazioni. Non accerta la responsabilità per le violazioni degli artt. 12 e 17. Rivolge ammonimento, ingiunge conformazione ai trattamenti, impone divieto di trattamento dei dati degli interessati coinvolti e ordina comunicazione entro sessanta giorni. Non applica sanzione pecuniaria. AI
28/05/2026
Enel Energia S.p.A.
Il Garante dichiara illecito il trattamento effettuato da Enel Energia S.p.A. per la violazione degli artt. 12 e 15 del Regolamento (UE) 2016/679, conseguente al diniego ingiustificato dell'accesso ai dati personali contenuti in una registrazione telefonica richiesto dall'interessato. Il Garante ingiunge alla Società di soddisfare entro trenta giorni la richiesta di accesso fornendo copia della registrazione telefonica con misure di oscuramento dei dati identificativi dell'operatore del servizio clienti, ovvero mediante trascrizione debitamente anonimizzata. AI
28/05/2026
Google LLC
Il Garante dichiara infondato il reclamo nei confronti del Corriere del Giorno in ordine alla richiesta di cancellazione o deindicizzazione dell'articolo pubblicato il 19 novembre 2020, considerando legittima la conservazione nell'archivio della testata. Dichiara invece fondato il reclamo nei confronti di Google LLC, ordinando la rimozione dell'URL quale risultato di ricerca associato al nome e cognome della ricorrente entro venti giorni, valutando il carattere obsoleto dell'articolo e il ruolo marginale della ricorrente rispetto alla vicenda giudiziaria. Dichiara non luogo a provvedere per il secondo URL. AI
28/05/2026
Consorzio Italia
Il Garante rileva l'illiceità del trattamento effettuato da Consorzio Italia per violazione degli artt. 12 e 15 del GDPR e dell'art. 157 del Codice della privacy. Il Consorzio, in qualità di titolare del trattamento, non ha fornito riscontro alla richiesta di accesso ex art. 15 GDPR presentata dalla reclamante in data 13 luglio 2022, né ha risposto alla successiva richiesta di informazioni inviata dall'Autorità ai sensi dell'art. 157 del Codice. Il Garante ammonisce il Consorzio per aver effettuato trattamenti in violazione degli artt. 12 e 15 del GDPR e per aver violato l'art. 157 del Codice. AI
28/05/2026
Università degli studi di Bari Aldo Moro
Il Garante accerta la violazione dei principi di liceità, correttezza, trasparenza e minimizzazione dei dati (art. 5, par. 1, lett. a) e c) GDPR) da parte dell'Università degli studi di Bari Aldo Moro. L'Università ha trasmesso al soggetto controinteressato, nell'ambito di una richiesta di accesso civico generalizzato, l'integrale istanza del ricorrente contenente dati eccedenti e non necessari quali il numero di telefono e l'indirizzo di residenza. Il Garante qualifica la violazione come minore e dispone l'ammonimento del titolare del trattamento, ritenendo insufficienti le giustificazioni addotte basate sulla presunta autorizzazione incondizionata del ricorrente. AI
14/05/2026
Università degli Studi di Genova
L'Università ha comunicato dati personali relativi a condanne penali e reati di un ricorrente alla CADA in una memoria difensiva, dichiarando di voler evidenziare la non attendibilità della persona. Il Garante ha ritenuto tale comunicazione esorbitante rispetto all'esigenza di difesa nel procedimento e priva di necessità, in quanto le informazioni non avevano attinenza diretta con i fatti oggetto del ricorso. L'Ateneo è stato ammonito per violazione dei principi di liceità, correttezza e trasparenza e per carenza di base giuridica. AI
14/05/2026
Comune di Reggio Calabria
Il Garante dichiara l'illiceità del trattamento dei dati personali effettuato dal Comune di Reggio Calabria mediante trasmissione di filmati di videosorveglianza all'Ufficio Motorizzazione Civile per procedimenti amministrativi relativi a violazioni del codice della strada, in violazione dei principi di liceità, correttezza e trasparenza e in assenza di base giuridica. Pur riconoscendo la violazione carattere colposo e la complessità giuridica della questione, il Garante ammonisce il Comune. AI
29/04/2026
Sig.ra XX
Il Garante ha dichiarato illecito il trattamento consistente nella pubblicazione su social network di immagini raffiguranti minori infraquattordicenni, effettuata dalla madre senza il consenso dell'altro genitore esercente la responsabilità genitoriale. Ha disposto il divieto di ulteriore trattamento delle immagini con riguardo alla loro pubblicazione su social network e ha ammonito la destinataria sulla necessità di acquisire il previo consenso dell'altro genitore per simili pubblicazioni. AI
29/04/2026
Presidenza del Consiglio dei ministri – Dipartimento della Protezione Civile
Il Garante accerta la violazione degli artt. 5, par. 1, lett. b) e c), e 12, parr. 3 e 4, del Regolamento (UE) 2016/679 commessa dalla Presidenza del Consiglio dei ministri – Dipartimento della Protezione Civile. Il Dipartimento ha pubblicato online per un periodo eccessivo un elenco contenente dati personali comuni (nome, cognome e macroarea) di soggetti tra cui la ricorrente, in violazione dei principi di limitazione della finalità e minimizzazione. Inoltre, ha omesso di fornire tempestivo riscontro all'istanza di esercizio dei diritti presentata dalla ricorrente. Qualificata come violazione minore, è stato irrogato ammonimento. AI
17/04/2026
Sodexo Italia Spa
Il Garante ha accertato l'illiceità del trattamento di dati personali effettuato da Sodexo Italia Spa, responsabile del servizio di ristorazione scolastica nel Comune di Marzabotto, a causa dell'invio erroneo via e-mail a 109 utenti di un documento contenente dati sensibili (nomi, cognomi, codici fiscali, pagamenti, figli e pasti consumati) di 50 famiglie in stato di insolvenza. La violazione è stata imputata alla scarsa padronanza operativa dell'addetta e alla carenza di adeguate misure di sicurezza, quali corsi formativi e istruzioni specifiche, nonostante il sistema tecnico disponesse di controlli preventivi. AI
17/04/2026
La Sicilia Investimenti S.p.A.
Il Garante dichiara infondato il reclamo di un interessato che chiedeva la rimozione o deindicizzazione di articoli pubblicati da un giornale online riguardanti una vicenda giudiziaria complessa. Il provvedimento ritiene che gli articoli, sebbene risalenti a sette anni prima, continuano a rispondere a un interesse informativo della collettività per la gravità dei fatti e la recente evoluzione processuale, rientrando nelle limitazioni al diritto all'oblio previste dal GDPR per l'archiviazione di interesse storico-documentaristico. AI
17/04/2026
Attitude S.r.l.
Il Garante accerta la violazione degli artt. 12 e 15 GDPR per il mancato riscontro a un'istanza di esercizio del diritto di accesso e rivolge un ammonimento ad Attitude S.r.l. Vengono archiviate le altre contestazioni relative agli artt. 5, 6, 7 GDPR e art. 130 Codice Privacy. Il titolare aveva adottato misure correttive in corso di procedimento, inclusa l'attivazione di una casella di posta dedicata alle richieste di diritti degli interessati. AI
17/04/2026
Ministero dell'Interno - Dipartimento della Pubblica Sicurezza - Polizia di Stato
Il Garante dichiara illecito il trattamento di dati personali (assenze per malattia) effettuato dalla Polizia di Stato in relazione a procedimenti disciplinari, per violazione dei principi di liceità, correttezza e trasparenza, nonché per tardivo riscontro alle richieste di esercizio dei diritti degli interessati. Il Ministero è ammonito per le violazioni riscontrate. AI
17/04/2026
Fondazione Corriere del Giorno
Il Garante dichiara infondato il reclamo presentato da un individuo che chiedeva la rimozione e deindicizzazione di articoli pubblicati dal quotidiano online Il Corriere del Giorno riguardanti vicende giudiziarie risalenti a sette anni prima. Il Garante ritiene che gli articoli, sebbene risalenti nel tempo, riguardano fatti di particolare rilevanza pubblica con perdurante attualità stante i recenti sviluppi giudiziari, e sono legittimamente conservati nell'archivio on-line dell'editore per finalità di archiviazione storico-documentaristica. AI
17/04/2026
Google LLC
Il Garante dichiara infondato il reclamo di un cittadino britannico che chiedeva la deindicizzazione di articoli risalenti al 2013 riguardanti una sua passata attività professionale. Ritenuto che gli articoli mantengono rilevanza attuale alla luce del profilo professionale continuo dell'interessato e ricadono nella libertà di commento giornalistico. AI
26/03/2026
Comune di Messina
Il Garante rileva l'illiceità del trattamento di dati personali effettuato dal Comune di Messina, titolare, che ha omesso di stipulare un accordo ex art. 28 GDPR con l'Azienda Speciale Messina Social City, responsabile del trattamento dei dati degli assistiti ai servizi socio-assistenziali. La violazione riguarda anche la pubblicazione non autorizzata di foto di minori su Facebook. Il Garante ingiunge al Comune di verificare la cancellazione dei post non conformi e di comunicare le misure adottate entro 30 giorni. AI
26/03/2026
Contrader s.r.l.
Il Garante accerta l'illiceità del trattamento operato da Contrader s.r.l. per il mancato riscontro entro i termini di legge all'istanza di cancellazione dati (art. 17 GDPR) presentata dal ricorrente in tre distinte occasioni. La Società ha violato gli obblighi di risposta tempestiva previsti dall'art. 12, par. 3, del Regolamento, utilizzando la genericità della richiesta come giustificazione inaccettabile, quando invece avrebbe dovuto richiedere ulteriori informazioni per identificare l'interessato ai sensi dell'art. 12, par. 6. Nel corso del procedimento la Società ha comunque provveduto ad aderire all'istanza dell'interessato. AI
26/03/2026
Dipartimento della Pubblica Sicurezza - Direzione Centrale della Polizia Criminale - Servizio Sistemi Informativi
Il Garante dichiara illecito il trattamento dei dati personali dell'interessato effettuato nel CED Interforze per violazione del principio di limitazione della conservazione e dell'obbligo di cancellazione. I dati sono stati conservati oltre i termini di legge fino a novembre 2025, nonostante la richiesta di cancellazione risalente al 2021. Il Garante ammonisce il Dipartimento per la violazione accertata e annota le violazioni nel registro interno. AI
26/03/2026
Compass Banca S.p.A.
Il Garante ha accertato violazioni degli articoli 5 par. 1 lett. c), 24 par. 1 del GDPR e dell'articolo 130 comma 2 del Codice Privacy per l'invio di una comunicazione promozionale indesiderata a seguito di conservazione inadeguata di liste di contatto non aggiornate nel repository del provider di mailing. Tuttavia, qualificando il caso come violazione minore e considerando le misure correttive già implementate dalla Società, il Garante ha disposto un ammonimento senza irrogare sanzione pecuniaria. AI
26/03/2026
Ministero della giustizia
Il Garante ordina al Ministero della giustizia di rendere immediatamente inaccessibili i dati personali dei sottoscrittori di proposte referendarie e di legge popolare scadute conservati sulla piattaforma digitale, proteggendoli mediante misure tecniche anti-accesso illecito. Il trattamento risulta privo di base giuridica in violazione del GDPR. Il Ministero deve comunicare entro tre mesi le misure adottate per conformarsi e specificare il numero degli interessati coinvolti. AI
26/03/2026
Il Gazzettino S.p.A.
Il Garante ha accertato la violazione degli obblighi di risposta alle istanze di esercizio dei diritti degli interessati da parte della testata giornalistica Il Gazzettino. La ricusazione di rispondere all'istanza inviata via pec durante il periodo estivo, pur seguito da rimozione volontaria dell'articolo, configura violazione degli artt. 5, 12 e 24 GDPR. Il Garante ha rivolto un ammonimento al titolare, rimarcando l'obbligo di fornire riscontro adeguato e tempestivo alle richieste di esercizio dei diritti, indipendentemente dal canale utilizzato o da circostanze organizzative. AI
26/03/2026
Nicolò Cristaldi
Il Garante accerta la violazione dei principi di liceità, correttezza e minimizzazione dei dati nella pubblicazione integrale di un atto giudiziario su Facebook. Nonostante il diritto di cronaca e l'interesse pubblico alla conoscenza dei fatti, la divulgazione completa della comunicazione dell'emissione di un decreto penale risulta eccedente rispetto alle necessarie finalità informative. Il Garante rivolge un ammonimento al titolare, richiamandolo al rispetto dei principi di essenzialità e limitazione dei contenuti diffusi. AI
26/03/2026
Fix It s.r.l.s.
Il Garante accerta la violazione degli artt. 5, 6 GDPR e 130 Codice Privacy per invio di comunicazione commerciale senza base giuridica. Rivolge ammonimento alla società per l'illecito trattamento. Archivia la contestazione relativa agli artt. 12 e 15 GDPR per assenza di evidenze della mancata risposta alla richiesta di accesso, non riscontrata nei fascicoli istruttori. AI
12/03/2026
Sagitter S.p.A.
Il Garante dichiara illecito il trattamento dei dati personali effettuato da Sagitter S.p.A. mediante comunicazione a terzi (familiari) della condizione di insolvenza del ricorrente, in violazione degli articoli 5 e 6 del GDPR. La comunicazione dell'8 aprile 2025 è stata ritenuta priva di idonea base giuridica, non potendo invocarsi il legittimo interesse in una fase stragiudiziale di recupero crediti. Il Garante ingiunge alla società di integrare le proprie procedure interne entro tre mesi per prevenire futuri casi analoghi. AI
12/03/2026
Associazione culturale I Siciliani Giovani
Il Garante accerta violazioni relative all'assenza di informativa privacy, mancato riscontro alle richieste di esercizio dei diritti e carenze nelle misure organizzative di un sito giornalistico online. Respinge la richiesta di deindicizzazione degli articoli come infondati in quanto pubblicati nel rispetto del diritto di cronaca. Ingiunge l'inserimento di privacy policy e l'adozione di misure tecniche per facilitare l'esercizio dei diritti degli interessati. AI
12/03/2026
Parmaitaly-Shop S.r.l.
Il Garante accerta la violazione dell'art. 5 par. 1 lett. f) e dell'art. 32 GDPR per inadequate misure tecniche di sicurezza su un sito e-commerce, a causa del mancato aggiornamento tempestivo del CMS PrestaShop che ha esposto i dati di carte di credito di circa 221 clienti. Non vengono applicate sanzioni pecuniarie poiché la Società ha adottato misure correttive idonee a partire dal 7 marzo 2025, includendo aggiornamento del CMS e migrazione verso piattaforma Shopify. AI
12/03/2026
Società per Azioni Esercizi Aeroportuali S.E.A.
Il Garante dichiara illecito il trattamento dei dati biometrici dei passeggeri effettuato mediante il sistema FaceBoarding presso l'aeroporto di Milano Linate per violazione di molteplici disposizioni GDPR, inclusi i principi di liceità, trasparenza e minimizzazione dei dati. La violazione riguarda la conservazione centralizzata dei template biometrici, l'assenza di idonea base giuridica per i passeggeri che non hanno aderito al sistema, e l'informativa inesatta fornita agli interessati. SEA ha cessato il trattamento il 16 settembre 2025 e cancellato i dati personali coinvolti. AI
12/03/2026
Rai – Radio Televisione Italiana S.p.A.
Il Garante dichiara infondato il reclamo presentato da due titolari di attività ricettive che lamentavano il trattamento illecito dei propri dati personali in un servizio televisivo del programma «Mi manda Rai Tre» sulla pratica dei diplomifici. Pur riconoscendo l'utilizzo di uno stratagemma (il giornalista ha dichiarato di essere un genitore interessato), il Garante ritiene il trattamento legittimo in quanto effettuato nell'esercizio della libertà di manifestazione del pensiero, nel rispetto del principio di essenzialità dell'informazione relative a fatti di interesse pubblico, con adozione di misure idonee di oscuramento dei volti e alterazione delle voci tali da impedire il riconoscimento da parte della massa indistinta di persone. AI
12/03/2026
Google LLC
Il Garante dichiara infondato il reclamo presentato da un cittadino estero che chiedeva la rimozione dai risultati di ricerca di URL riferiti a una sua condanna penale ormai espiata. Sebbene Google abbia già adottato misure per alcuni URL, il Garante ritiene che per gli URL restanti non sussistono i presupposti per il riconoscimento del diritto all'oblio, data la gravità dei reati contestati, il limitato periodo di tempo trascorso e il ruolo pubblico attualmente ricoperto dall'interessato. AI
12/03/2026
Ministero dell'Interno
Il Garante ha accertato la violazione del principio di trasparenza e degli obblighi di comunicazione del Ministero dell'Interno per aver indicato nel portale della Carta d'Identità Elettronica un recapito non aggiornato del Responsabile della Protezione dei Dati, causando il tardivo riscontro alla richiesta di esercizio del diritto di cancellazione. Il Ministero è stato ammonito per le violazioni degli articoli 5, 12 e 13 GDPR e ha provveduto ad aggiornare l'informativa. AI
12/03/2026
La Tabaccheria Magie di Fumo
Il Garante dichiara illecito il trattamento mediante videosorveglianza per violazione dei principi di trasparenza e informativa (artt. 5 e 13 GDPR). Pur qualificando la condotta come violazione minore senza sanzione pecuniaria, ammonisce la titolare e le ingiunge di collocare entro 30 giorni idonea cartellonistica informativa, considerando che la segnaletica era stata precedentemente rimossa da terzi. AI
26/02/2026
avvocato (XX)
Il Garante dichiara illecito il trattamento di dati personali effettuato da un avvocato che ha notificato atti giudiziari all'indirizzo PEC professionale del ricorrente senza idonea base giuridica, violando i principi di liceità e minimizzazione dei dati. Pur accertando la violazione degli artt. 5 e 6 GDPR, il Garante iroga un ammonimento anziché sanzione pecuniaria, considerando il numero limitato di destinatari, l'esaurimento della condotta e l'assenza di precedenti. AI
26/02/2026
Formez PA
Il Garante rileva l'illiceità del trattamento effettuato da Formez PA per la pubblicazione online di dati personali (nome e cognome) di oltre trecento candidati ammessi alla prova scritta di un concorso pubblico del Ministero dell'economia e delle finanze, in violazione dell'art. 28 par. 3 del Regolamento GDPR. La diffusione è avvenuta in un'area accessibile a chiunque anziché tramite accesso selettivo riservato ai soli candidati con credenziali personali. Non sono adottate misure correttive poiché Formez PA ha già provveduto a rimuovere gli elenchi dal sito web e la piattaforma è stata dismessa. AI
26/02/2026
Formez PA
Il Garante dichiara illecito il trattamento di dati personali effettuato da Formez PA quale responsabile esterno incaricato dal Ministero delle Imprese e del Made in Italy per la pubblicazione online della graduatoria di un concorso pubblico. La violazione consiste nella diffusione in area accessibile al pubblico di dati eccedenti rispetto alle finalità di trasparenza, inclusi codice fiscale, dettagli punteggi e informazioni su preferenze/precedenze. Sebbene la condotta abbia esaurito i suoi effetti e la graduatoria attualmente reperibile online contenga solo nome, cognome e punteggio totale, il Garante conferma l'illiceità del trattamento e dispone la pubblicazione del provvedimento e l'annotazione nel registro interno. AI
26/02/2026
Sole 24 Ore S.p.A.
Il Garante accoglie il reclamo di una persona i cui articoli di archivio storico contenevano informazioni su una vicenda giudiziaria risoltasi con suo proscioglimento. Ordina a Sole 24 Ore di completare l'aggiornamento includendo la data della decisione favorevole della magistratura elvetica, sia nelle versioni digitali e preview sia nei pdf dell'archivio. Dispone ammonimento per violazione del diritto di rettifica e integrazione dati. AI
26/02/2026
StarJoy Comunication & ADV. S.r.l.s.
Il Garante accerta la violazione della normativa privacy e sulle regole deontologiche nel trattamento di dati e immagini di una persona arrestata, pubblicate in un articolo di cronaca. Pur prendendo atto della rimozione dell'articolo da parte della società, dispone il divieto di ulteriore trattamento dell'immagine lesiva dei diritti, l'obbligo di comunicare le iniziative intraprese entro 30 giorni, e l'annotazione delle violazioni nel registro interno. AI
26/02/2026
avvocato XX
Il Garante dichiara illecito il trattamento di dati giudiziari effettuato da un avvocato che ha comunicato al datore di lavoro della controparte informazioni sulla sua qualità di imputata in un procedimento penale, al fine di verificarne la capienza patrimoniale per una futura azione risarcitoria. La comunicazione viola i principi di liceità, correttezza e minimizzazione dei dati. L'avvocato viene ammonito. AI
26/02/2026
S.M. Trattamento Acqua di XX
Il Garante dichiara illeciti i trattamenti di dati personali effettuati da S.M. Trattamento Acqua per finalità promozionali in assenza di base giuridica idonea, senza adeguato consenso e in violazione del diritto di accesso. Ingiunge al titolare di completare l'adozione di misure organizzative e tecniche per conformare le attività promozionali alla normativa vigente, inclusa la verifica dei partner commerciali e la corretta individuazione dei ruoli soggettivi. AI
26/02/2026
Società Editrice Esculapio s.r.l.
Il Garante accerta la violazione degli artt. 6 e 13 GDPR e dell'art. 130 Codice Privacy da parte della casa editrice per aver inviato comunicazione commerciale all'indirizzo email istituzionale di un docente universitario senza consenso preventivo e fornendo informazione inesatta circa l'iscrizione a un database. Irrogato ammonimento senza sanzione pecuniaria né misure correttive, valutato il comportamento collaborativo della Società e l'assenza di pregiudizio per l'interessato. AI
26/02/2026
Google LLC
Il Garante accoglie il reclamo dell'interessato e ordina a Google LLC la rimozione da risultati di ricerca di 28 URL contenenti informazioni relative a procedimenti penali archiviati, ritenendo che la permanenza online non rispondesse a interesse pubblico prevalente sul diritto all'oblio. Google aveva già rimosso spontaneamente alcuni URL; per i restanti, il Garante impone la deindicizzazione entro venti giorni. AI
26/02/2026
Ministero del Lavoro e delle Politiche Sociali
Il Garante ha accertato violazioni dei principi di minimizzazione dei dati e di privacy by design nel trattamento delle comunicazioni obbligatorie a fini statistici. Il Ministero conservava dati identificativi in chiaro nel repository XML, comprese categorie protette ex lege 68, senza adeguate misure di pseudonimizzazione. Qualificata come violazione minore, è stata irrogata un'ammonizione con prescrizione di completare la pseudonimizzazione secondaria e implementare controlli automatizzati per le singolarità entro 120 giorni. AI
26/02/2026
Azienda Ospedaliero Universitaria di Sassari
Il Garante dichiara illecito il trattamento di dati sanitari da parte dell'AOU di Sassari, che ha inserito erroneamente esami diagnostici di una paziente nella cartella clinica di un'altra paziente. L'Autorità qualifica la violazione come minore e ammonisce il titolare, ritenendo sufficienti le misure correttive già implementate e l'assenza di dolo. AI
26/02/2026
Fondazione Centro sperimentale di cinematografia
Il Garante accerta l'illiceità della pubblicazione, sul sito istituzionale, di una delibera di licenziamento contenente i dati personali di un dipendente senza adeguata base giuridica. Nonostante la violazione accertata, non viene inflitta sanzione pecuniaria bensì ammonimento, considerando il carattere isolato del fatto, la successiva oscurazione dei dati, la colpevolezza non intenzionale e l'assenza di precedenti violazioni pertinenti. AI
26/02/2026
Editrice del Mezzogiorno S.r.l.
Il Garante ha dichiarato infondato il reclamo relativo alla rimozione di un articolo di stampa su una condanna successivamente revocata e ha archiviato la contestazione sulla deindicizzazione e aggiornamento. Ha però ammonito l'editore per violazione degli obblighi di correttezza e trasparenza nei rapporti con gli interessati, in quanto non ha fornito alcun riscontro alle richieste preliminari ai sensi degli artt. 12, parr. 3 e 4 GDPR, indipendentemente dal merito della richiesta. AI
24/02/2026
Amazon Italia Logistica s.r.l.
Il Garante ordina ad Amazon la limitazione definitiva del trattamento dei dati personali contenuti nelle note in campi liberi della piattaforma XX, che raccolgono informazioni su patologie, attività sindacali e vita personale dei lavoratori del magazzino di Passo Corese. Ordina inoltre la limitazione del trattamento effettuato mediante quattro telecamere posizionate in prossimità di bagni e aree riservate ai dipendenti. L'azienda deve verificare la liceità di anaoghi trattamenti in tutte le sedi che utilizzano la piattaforma XX entro sette giorni. AI
12/02/2026
Azienda Sanitaria Locale Verbanio Cusio Ossola
L'ASL ha comunicato a un creditore procedente l'informazione che un dipendente, a seguito di mobilità, prestava servizio presso un'altra amministrazione, allo scopo di agevolare il recupero di debiti tributari del dipendente stesso. Il Garante ha ritenuto tale comunicazione illecita per mancanza di base giuridica e violazione dei principi di liceità, correttezza e trasparenza, emettendo un ammonimento. AI
12/02/2026
Fersovere Srl
Il Garante accerta violazioni dell'art. 6 GDPR e dell'art. 130 Codice Privacy per invio di comunicazioni promozionali via email senza consenso, e violazioni degli artt. 12 e 15 GDPR per mancato o inadeguato riscontro alle richieste di accesso. In ragione della natura minore della violazione e delle misure correttive adottate dalla società, il Garante dispone ammonimento senza sanzione pecuniaria. AI
12/02/2026
Avv. XX
L'Avv. XX, in rappresentanza di una società di recupero crediti, ha comunicato la cessazione di un debito inviando dati personali del debitore a un indirizzo PEC istituzionale non competente (Comando Stazione Carabinieri) anziché al CNA (Centro Nazionale Amministrativo Carabinieri), sede legalmente preposta. Tale comunicazione è stata effettuata in assenza di idonea base giuridica e senza aggiornamento dei dati di contatto. Il Garante ha accertato violazioni degli articoli 5 e 6 GDPR e ha irrogato un ammonimento. AI
12/02/2026
Comune di Tires
Il Garante ha accertato che il Comune di Tires ha violato il principio di minimizzazione dei dati (art. 5, par. 1, lett. c, RGPD) pubblicando online il nominativo di un cittadino che aveva presentato opposizione a deliberazioni comunali. Pur riconoscendo la fattispecie come violazione minore e considerando che il Comune ha prontamente rimosso i dati, il Garante ha disposto un ammonimento anziché una sanzione pecuniaria. AI
29/01/2026
Federazione Nazionale degli Ordini delle Professioni Infermieristiche
Il Garante dichiara illecita la pubblicazione online dei dati personali dei candidati a concorso pubblico (nomi, cognomi, date di convocazione, elenchi ammessi/non ammessi) sul sito istituzionale della Federazione, con successiva indicizzazione sui motori di ricerca, per violazione degli artt. 5, 6 GDPR e art. 2-ter Codice Privacy. Sebbene la Federazione abbia tempestivamente rimosso i dati dal sito e ottenuto la deindicizzazione, la violazione è accertata in assenza di idoneo presupposto di liceità, indipendentemente dalla tempestività delle contromisure adottate. AI
29/01/2026
L'Alba società cooperativa sociale
Il Garante ammonisce L'Alba società cooperativa sociale per non aver fornito tempestivo riscontro a un'istanza di accesso ai dati personali entro i termini di legge. La violazione riguarda il mancato rispetto del termine di un mese previsto dall'articolo 12, paragrafo 3 del GDPR, nonostante successivamente la cooperativa abbia comunque fornito le informazioni richieste. AI
29/01/2026
Comune di Mirabella Eclano
Il Garante ammonisce il Comune di Mirabella Eclano per aver diffuso online dati personali (nominativo e codice fiscale) in delibere di giunta e verbali di conciliazione senza adottare misure di minimizzazione, e per aver risposto tardivamente a una richiesta di esercizio dei diritti oltre il termine di 30 giorni previsto dal RGPD. Il provvedimento tiene conto della natura colposa della violazione, delle ridotte dimensioni dell'ente e delle misure correttive già adottate. AI
29/01/2026
avvocato XX
Il Garante accerta l'illiceità del trattamento di dati personali costituiti da file audio di intercettazioni telefoniche diffusi da un avvocato a fini di contestazione politica, in violazione dell'articolo 6 GDPR. L'interesse legittimo alla contestazione politica non prevale sulla tutela costituzionale delle comunicazioni telefoniche. L'Autorità ammonisce l'avvocato per la violazione accertata. AI
29/01/2026
Istituto d'Istruzione superiore statale Enrico Fermi – Leonardo da Vinci
L'Istituto ha comunicato illegittimamente dati personali e dati relativi alla salute del figlio dei ricorrenti ai compagni di classe tramite email sull'invito al PEI e ha inviato a tutti i genitori della classe l'elenco degli alunni con date di nascita, in violazione dei principi di liceità e minimizzazione. Il Garante dichiara illecita la condotta e ammonisce l'Istituto, ritenendo la violazione minore vista la natura dell'errore materiale e le misure correttive adottate. AI
16/01/2026
Ostilia S.r.l.
Il Garante ha accertato la violazione degli artt. 5 e 6 GDPR per l'invio via email in chiaro di una comunicazione su posizioni debitorie a 37 destinatari, con visibilità reciproca degli indirizzi e dati personali della ricorrente. La violazione è stata qualificata come minore a causa del carattere colposo (errore di digitazione), dell'evento isolato, della difficoltà gestionale della società e della sua sottoposizione a concordato preventivo, per cui è stato disposto ammonimento anziché sanzione pecuniaria. AI
16/01/2026
Istituto Comprensivo Statale Alghero 2
Il Garante ha accertato la violazione degli artt. 5, 6 e 9 GDPR e dell'art. 2-ter del Codice Privacy per la divulgazione non autorizzata di dati sanitari di una docente a una collega mediante una nota di riscontro unificata a due reclami sindacali distinti. L'Istituto ha commesso un errore di valutazione in buona fede nel consolidare le risposte ai due reclami senza separare adeguatamente i dati personali e sensibili degli interessati. Il Garante ha qualificato la violazione come minore, considerando il carattere episodico e colposo della condotta, nonché le misure correttive successivamente adottate dall'Istituto. AI
Ricevi ogni provvedimento via email
Un'email per ogni nuovo provvedimento pubblicato — niente di più, cancellazione in un click.