Tutti i provvedimenti monitorati

Consorzio Stabile CMF

A seguito di una segnalazione di Fiom CGIL di Roma-Centro-Ovest-Litoranea e di alcuni lavoratori, il Garante ha accertato che il Consorzio Stabile CMF ha introdotto dal 1° marzo 2023 un sistema di rilevazione delle presenze tramite TAG NFC, fornendo l'informativa specifica solo il 19 maggio 2023. Nel periodo di cosiddetto collaudo il Consorzio ha trattato codice del TAG, data, orario di lettura e codice terminale di circa ottanta lavoratori senza informativa. Il Garante ha respinto la tesi del Consorzio secondo cui bastava l'informativa generale data all'assunzione, che non conteneva informazioni sul sistema. Ha inoltre ritenuto irrilevanti l'informazione resa ai sindacati il 18 maggio 2023 e la presunta prevedibilità del trattamento, dato il passaggio dal cartaceo al tecnologico. Accertata la violazione degli artt. 12 e 13 GDPR per colpa, il Garante ha inflitto una sanzione di 2.700 euro senza ulteriori misure correttive, essendo la condotta esaurita. AI

Comune di San Nicandro Garganico

Il Comune di San Nicandro Garganico ha pubblicato nella sezione Amministrazione trasparente la Deliberazione consiliare n. 13/2025 e la Determinazione n. 71/2025 con i relativi allegati, riportando nell'oggetto e nel testo il nominativo del reclamante, i dati della causa dinanzi al giudice del lavoro e gli importi riconosciuti dalla sentenza. Il Comune ha sostenuto di aver applicato un'interpretazione estensiva del principio di minimizzazione. Il Garante ha ritenuto invece che i dati fossero eccedenti e mantenuti online per circa un anno, oltre i quindici giorni previsti dall'art. 124 del d.lgs. 267/2000, senza idonea base normativa. Ha inoltre accertato la mancata comunicazione al Garante della variazione dei dati di contatto del RPD, non giustificabile con l'attribuzione dell'adempimento a un ufficio interno. Ha quindi irrogato 2.400 euro per la diffusione e 1.200 euro per la violazione dell'art. 37, par. 7, per un totale di 3.600 euro. AI

Istituto di Istruzione Superiore Della Corte Vanvitelli

L'Istituto di Istruzione Superiore Della Corte Vanvitelli ha pubblicato per 19 giorni, nella sezione albo sindacale del proprio sito web istituzionale, documenti relativi all'elezione della RSU d'Istituto. Tra questi c'erano moduli di candidatura con nominativi, luogo e data di nascita, indirizzo di residenza e appartenenza sindacale dei candidati, oltre alle copie dei loro documenti di riconoscimento. L'Istituto ha sostenuto che la pubblicazione delle liste rispondesse a esigenze di trasparenza previste dagli accordi collettivi e che fosse dipesa da un errore dell'animatore digitale. Il Garante ha ritenuto che il trattamento resti riconducibile alla responsabilità del titolare e che né la contrattazione collettiva né la normativa sulla trasparenza costituiscano una base giuridica idonea per diffondere tali dati alla collettività indistinta. Ha quindi accertato la violazione degli artt. 5, par. 1, lett. a), 6 e 9 GDPR e 2-ter del Codice e ha irrogato una sanzione di 4.000 euro. AI

Barbuti s.p.a.

Il Garante ha accertato che Barbuti s.p.a. non ha dato seguito alla richiesta di cancellazione inviata da un interessato all'indirizzo di posta del contact us, casella non presidiata da personale incaricato della gestione dei diritti, rimasta senza riscontro formale. Nel periodo di inerzia sono stati inviati ulteriori sms promozionali privi di un recapito per l'esercizio dei diritti, in violazione dell'art. 130 del Codice. La società ha cancellato i dati del reclamante e adottato misure correttive; il Garante ha comunque ritenuto violata la responsabilizzazione del titolare e ha determinato la sanzione in 5.000 euro. AI

Consiglio Nazionale del Notariato

Il Garante ha accertato che il Consiglio Nazionale del Notariato, soggetto estraneo alla procedura concorsuale, ha ottenuto da un componente della commissione di concorso un file Excel con l'elenco dei candidati ammessi alla prova orale, arricchito di commenti personali e annotazioni, e lo ha caricato sulla piattaforma riservata ai notai. Il Garante ha ritenuto che la disciplina di settore limiti la conoscibilità degli esiti delle prove scritte ai soli partecipanti e che né l'art. 2 della l. 577/1949 né l'art. 6, par. 1, lett. e), del Regolamento possano fondare il trattamento. Il file è stato reso accessibile per circa 45 minuti nella versione originaria, per circa 25 minuti in una versione ridotta e fino al 20 febbraio 2026 in una versione ulteriormente ridotta, prima della rimozione. Il Garante ha irrogato la sanzione di 15.000 euro, tenendo conto della cooperazione e della rimozione spontanea. AI

Ministero della Giustizia

Il Garante ha accertato che il Ministero della Giustizia, nella procedura concorsuale notarile, ha messo a disposizione nell'atrio di accesso dell'edificio, prima dei tornelli, un elenco con i dati di 1229 candidati idonei e non idonei alle prove scritte, contenente data di nascita, numero di verbale, numero di busta, punteggi. Il Ministero sosteneva che la soluzione equivalesse all'affissione prevista dall'art. 17 del r.d. 1326/1914, ma il Garante ha ritenuto che tale norma prescriva l'affissione dei soli ammessi all'orale e che l'esposizione in quel luogo consentisse a chiunque di conoscere gli esiti, configurando una diffusione priva di base giuridica. Il Garante ha quindi dichiarato l'illiceità del trattamento e irrogato una sanzione di 20.000 euro. AI

Poste Italiane S.p.A.

Il Garante ha accertato l'illiceità del trattamento effettuato da Poste Italiane S.p.A. a seguito del reclamo di una dipendente, la cui richiesta di finanziamento presso Deutsche Bank era stata rifiutata. La Banca aveva inserito nella piattaforma accessibile al personale Poste dati su impegni finanziari in corso e reddito netto della richiedente, mentre le informazioni rese agli interessati nell'ambito del Prestito BancoPosta sono state giudicate non corrette e non trasparenti, anche per un'errata qualificazione dei ruoli soggettivi tra Poste e la Banca. Poste ha poi cancellato i dati, aggiornato l'informativa e avviato una revisione degli accordi contrattuali, ma è stata comunque sanzionata per 48.000 euro. AI

✓ Verificata il 23/10/2026

Deutsche Bank S.p.A.

Una dipendente di Poste Italiane ha presentato reclamo dopo che, nel negarle un finanziamento tramite il portale riservato ai dipendenti di Poste, Deutsche Bank aveva inserito nella piattaforma accessibile ad addetti di Poste l'informazione sui suoi impegni finanziari in corso, con importo e reddito netto. Il Garante ha accertato la violazione dei principi di correttezza e trasparenza per l'inadeguatezza dell'informativa, che tra i destinatari dei dati indicava Poste come responsabile esterno, mentre Poste è un titolare distinto che riceve i dati e ne risponde da sé. Il trattamento è stato dichiarato illecito e alla banca è stata irrogata una sanzione di 33.000 euro, con prescrizione di modificare l'informativa entro sei mesi. AI

✓ Verificata il 23/10/2026

Difensore civico della Regione Lazio

Su richiesta del Difensore civico della Regione Lazio, il Garante esamina il diniego opposto dal Dipartimento di Epidemiologia dell'ASL Roma 1 a un'istanza di accesso civico generalizzato di un'associazione di categoria, relativa a dati di morbilità e mortalità oncologica di una coorte residente in alcune vie di un Comune nel periodo 2010-2026. Il Dipartimento, che agisce come responsabile del trattamento per conto della Regione Lazio, ha negato l'accesso ritenendo i dati relativi alla salute non ostensibili e a rischio di re-identificazione indiretta. Il Garante conferma che si tratta di un'eccezione assoluta all'accesso civico, richiama il divieto di diffusione dei dati sulla salute e ricorda che spetta al titolare valutare, con criteri di aggregazione adeguati, la possibilità di comunicare dati anonimizzati. AI

Università degli Studi di Teramo

Un dipendente dell'Università degli Studi di Teramo ha lamentato che l'Ateneo, dopo una delibera del Consiglio di amministrazione relativa al conferimento di un incarico di difesa legale in un suo contenzioso di lavoro, ha inviato via email a tutto il personale l'ordine del giorno contenente il suo nominativo e il numero di registro generale del ricorso, pubblicandolo anche sul sito istituzionale con indicizzazione sui motori di ricerca. Il Garante ha accertato la violazione dei principi di liceità, correttezza, trasparenza e minimizzazione e dell'assenza di base giuridica, qualificando l'accaduto come errore umano colposo, e ha irrogato una sanzione di 4.000 euro, con pubblicazione del provvedimento sul sito del Garante. AI

Università degli Studi Mediterranea di Reggio Calabria

Un ex studente ha chiesto all'Università Mediterranea di Reggio Calabria la cancellazione dei propri dati dall'elenco pubblicato online relativo alle elezioni studentesche del 2016, ma l'Ateneo non ha fornito alcun riscontro né al reclamante né al Garante, nonostante due inviti formali ad aderire. La rimozione del link è stata comunicata solo dopo la notifica dell'avvio del procedimento sanzionatorio, con data di cancellazione non precisata; il Garante ha quindi irrogato una sanzione di 4.000 euro, disponendone la pubblicazione. AI

AGID - Agenzia per l'Italia Digitale

Il Garante ha accertato l'illiceità della diffusione online, sul portale Amministrazione Trasparente di AGID, dell'elenco dei candidati ammessi alla prova orale di una procedura concorsuale per il programma Smarter Italy, contenente nome, cognome e punteggio di quindici interessati, tra cui il reclamante. Il documento è rimasto pubblicato dal 2021 fino al 23 gennaio 2026 a causa di un mancato perfezionamento della sostituzione documentale, nonostante AGID ritenesse erroneamente di averlo già rimosso. Il Garante ha irrogato una sanzione di 15.000 euro e disposto la pubblicazione del provvedimento sul proprio sito. AI

Federazione Nazionale degli Ordini dei Biologi (FNOB)

Il Garante ha sanzionato la Federazione Nazionale degli Ordini dei Biologi per aver inviato, nei giorni 21 e 24 luglio 2025, messaggi di posta elettronica certificata a più professionisti inserendo i loro indirizzi e-mail personali in chiaro, rendendoli visibili a tutti i destinatari. La Federazione ha attribuito l'episodio a un errore materiale, avendo utilizzato la PEC che non consente l'inserimento in copia nascosta, e ha dichiarato di aver adottato misure correttive interne. Il Garante ha ritenuto la condotta una comunicazione illecita di dati personali a terzi, in assenza di base giuridica, valutandone però il livello di intensità come basso. AI

Ristorante Luna (titolare dell'impresa individuale)

Il Garante ha accertato, a seguito di sopralluogo della Polizia locale di Civitanova Marche del 30.8.2025 presso il Ristorante Luna, l'illiceità del trattamento effettuato tramite due telecamere di videosorveglianza prive di cartelli informativi, sprovviste dell'autorizzazione dell'Ispettorato del Lavoro pur essendo presenti lavoratori, e in grado di rilevare anche il segnale audio accessibile da remoto via smartphone. Il titolare non ha presentato scritti difensivi. È stata irrogata una sanzione di 2.000 euro e disposta la limitazione definitiva della rilevazione audio e la limitazione temporanea delle immagini fino all'informativa e all'eventuale autorizzazione. AI

Bees Srl

Un interessato ha esercitato il diritto di cancellazione e opposizione nei confronti di Bees Srl, ricevendo conferma di accoglimento, ma è stato successivamente destinatario di 33 email promozionali. La causa è stata un errore umano: i dati sono stati cancellati dal database ma non dal CRM HubSpot, in un contesto di gestione manuale delle istanze su due sistemi distinti (HubSpot e backend Sylius). Il Garante ha confermato le violazioni, rilevando la carenza di misure adeguate e la mancanza di accountability, e ha irrogato una sanzione di 2.000 euro, tenendo conto della colpa lieve, della rapida rimozione dei dati e della cooperazione della società. AI

Imieiprofessionisti.it S.r.l.

Il Garante ha esaminato sei doglianze (quattro reclami e due segnalazioni) relative all'invio da parte di Imieiprofessionisti.it S.r.l. di comunicazioni promozionali indesiderate tramite posta elettronica certificata a professionisti iscritti ad albi, reperiti manualmente dagli albi del Consiglio Nazionale Forense e degli Ordini professionali, in assenza di consenso. Il mancato riscontro a una richiesta di accesso di uno dei reclamanti ha costituito una violazione autonoma, per la quale è stata irrogata una sanzione di 1.000 euro. Il Titolare ha sostenuto che le comunicazioni avessero finalità informative e che gli indirizzi fossero stati cancellati dopo l'invio, ma il Garante ha respinto tali tesi, accertando la finalità promozionale, e ha ritenuto rilevante la mancata risposta all'interpello preventivo. AI

Azienda Sanitaria Locale Avellino

Un'associazione di categoria ha chiesto all'ASL Avellino dati numerici aggregati sugli utenti in carico presso i Ser.D., compresi i minorenni, disaggregati per tipologia di dipendenza, per età, genere, stato occupazionale e livello di istruzione, per una ricerca su scala nazionale sulla dipendenza da gioco d'azzardo. Il RPCT dell'ASL ha chiesto il parere del Garante dopo il silenzio dell'amministrazione; il Garante, con procedura d'urgenza ex art. 5, comma 8, del Regolamento n. 1/2000, ha ritenuto che i dati siano relativi alla salute e che, allo stato degli atti, non vi siano elementi per discostarsi dalla valutazione del RPCT, secondo cui in un contesto provinciale a modesta densità demografica la combinazione delle variabili espone a un rischio di re-identificazione. Il Garante ha inoltre rilevato che gli elementi richiesti dalle Regole deontologiche per la ricerca non risultano documentati. AI

Automania s.r.l. (in persona del legale rappresentante sig. XX)

Il Garante ha sanzionato con 800 euro l'agenzia di autonoleggio Automania s.r.l. di Bari, il cui impianto di videosorveglianza era privo di cartelli informativi indicanti il titolare del trattamento e il periodo di conservazione delle immagini, e in assenza di informativa estesa, come accertato dalla Polizia locale del Comune di Bari con sopralluogo del 4 settembre 2025. Il titolare ha poi sostituito la cartellonistica e predisposto l'informativa estesa, elementi valutati come attenuanti; la natura colposa della condotta e l'ampia platea di interessati, in ragione del carattere di esercizio pubblico dei luoghi, hanno però aggravato la valutazione. AI

Cocontest Italy S.r.l.

Il Garante ha accertato che Cocontest Italy S.r.l., titolare della piattaforma www.gopillar.com, ha pubblicato un'informativa privacy non corretta fino all'avvio dell'istruttoria, con violazione degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 del Regolamento, e non ha dato riscontro alla richiesta di accesso del reclamante, in violazione degli artt. 5, par. 2, 12, par. 3 e 15. Il reclamante lamentava comunicazioni promozionali indesiderate via e-mail e WhatsApp e il mancato riscontro alle richieste di accesso; sono stati archiviati i profili relativi allo spam e alla mancata cancellazione dell'account. Per l'informativa è stata irrogata una sanzione di 1.000 euro, con pubblicazione del provvedimento sul sito del Garante e un ammonimento per il mancato adeguato riscontro alla richiesta di esercizio dei diritti. AI

Agenzia regionale dei Segretari degli Enti Locali della Valle d'Aosta

Il Garante ha accertato l'illiceità della diffusione online, tramite l'Albo pretorio, di cinque deliberazioni e di un allegato contenenti dati personali di una dipendente relativi a contenziosi di lavoro con l'Agenzia regionale, pubblicati per un errore tecnico e rimasti online fino alla richiesta di cancellazione ex art. 17 GDPR. Il Garante non ha accertato la violazione dell'art. 12, par. 3, GDPR: la mancata risposta scritta entro i termini è un'ammissione dell'Agenzia, che ha comunque rimosso le determine e dichiarato di aver avviato interventi tecnico-organizzativi. Per la violazione degli artt. 5 e 6 GDPR e dell'art. 2-ter del Codice, è stata irrogata una sanzione di 6.000 euro, con pubblicazione del provvedimento sul sito del Garante. AI

Fondazione Rome Technopole

Il Garante accerta la violazione dei principi di liceità, correttezza e minimizzazione dei dati in seguito alla pubblicazione di una graduatoria contenente dati personali di 480 studenti (residenza, codice fiscale, data di nascita, contatti, documenti identificativi, IBAN). La Fondazione ha rimosso il file in tempi rapidi (circa dodici ore dopo la pubblicazione, secondo la sua dichiarazione). È inflitta sanzione di 8.000 euro, determinata tenendo conto delle circostanze attenuanti. AI

Comune di Arvier

Il Garante dichiara illecito il trattamento effettuato dal Comune di Arvier mediante telecamera di videosorveglianza che riprendeva abitazione privata senza base giuridica adeguata, trasparenza e valutazione di impatto. Sono state riscontrate violazioni degli articoli 5, 6, 12, 13, 25 e 35 del GDPR e dell'art. 2-ter del Codice Privacy. Il Comune è sanzionato con 4.000 euro e ingiunto a conformare i trattamenti alle disposizioni del Regolamento mediante misure correttive specifiche. AI

Michael Page International Italia s.r.l.

Il Garante accerta il trattamento illecito degli account di posta elettronica di tre dipendenti mantenuti attivi dopo la cessazione del rapporto di lavoro, con accesso al loro contenuto, in assenza di informativa adeguata. Sono state riscontrate violazioni degli articoli 5, par. 1, lett. a), c), e), 13, 88 del GDPR e 114 del Codice Privacy. La società è condannata al pagamento di una sanzione pecuniaria di 225.000 euro. AI

IQVIA Solutions Italy S.r.l.

Il Garante accerta l'illiceità del trattamento di dati sanitari di oltre un milione di pazienti di circa 800 medici di medicina generale, raccolti da IQVIA nel database LPD per studi osservazionali, per violazione dei principi di liceità, correttezza e trasparenza, limitazione della conservazione, integrità e riservatezza e responsabilizzazione (art. 5, par. 1, lett. a), e), f) e par. 2) e degli artt. 9, 13, 25, 28, 32 e 35 GDPR. Irroga una sanzione di 7 milioni di euro e ingiunge di conformarsi entro 120 giorni. AI

✓ Verificata il 19/10/2026

Istituto Nazionale di Ricerca Metrologica - INRIM

Il Garante accerta violazioni degli artt. 5, 6, 12, 13, 35 e 88 GDPR in riferimento a un impianto di videosorveglianza attivato in fase di test senza adeguata trasparenza, base giuridica e DPIA. La sanzione di 10.000 euro è determinata quale importo basso considerate le circostanze attenuanti, con ordine di pubblicazione sul sito istituzionale. AI

Leontinoi Società Cooperativa Sociale

Il Garante accerta l'illiceità del trattamento effettuato da Leontinoi Società Cooperativa Sociale per mancata risposta alla richiesta di accesso ai dati personali presentata dal reclamante il 29 novembre 2024 ai sensi dell'art. 15 GDPR. La cooperativa non ha fornito riscontro entro un mese dal ricevimento della richiesta (violazione art. 12, par. 3 GDPR), non ha informato l'interessato dei motivi dell'inottemperanza (violazione art. 12, par. 4 GDPR), e ha omesso di cooperare con l'Autorità nella fase istruttoria, non riscontrando la richiesta di informazioni dell'Ufficio (violazione artt. 31 GDPR e 157 Codice Privacy). AI

Associazione Culturale Quadrante Sud

Il Garante sanziona l'Associazione Culturale Quadrante Sud per violazione degli obblighi di trasparenza, mancato riscontro alle richieste dell'interessata e dell'Autorità, oltre che per carenza di informativa sulla privacy sul sito giornalistico. Sono imposte misure correttive per fornire l'informativa e garantire l'effettivo esercizio dei diritti degli interessati. AI

Comune di Aprilia

Il Garante ha accertato la violazione degli artt. 5 e 6 GDPR e dell'art. 2-ter Codice Privacy da parte del Comune di Aprilia per aver comunicato i dati personali di un cittadino alla Commissione Straordinaria e al datore di lavoro senza idonea base giuridica. Il Garante ha omesso parti del provvedimento in pendenza del giudizio di opposizione: il testo pubblicato non indica l'importo della sanzione. AI

La Patria S.p.A.

Il Garante accerta la violazione degli artt. 12, 13 e 15 del GDPR per mancato riscontro alle istanze di accesso del reclamante, mancata idonea informativa sulla geolocalizzazione dei veicoli aziendali e riferimenti errati a dati particolari non effettivamente trattati. La Società è condannata al pagamento di una sanzione di 39.000 euro, con possibilità di riduzione al 50% mediante definizione anticipata della controversia. AI

Azienda Tutela della Salute Liguria

Il Garante nega l'accesso civico generalizzato a un verbale di conciliazione relativo a causa di lavoro, in quanto il documento contiene dati relativi alla salute rientranti in categorie particolari di dati personali e sottoposti a espresso divieto di diffusione. L'esclusione dell'accesso è diretta dal legislatore e rappresenta un'eccezione assoluta che dispensa l'amministrazione da ulteriori valutazioni di merito. AI

Ministero della Difesa

Il Garante sostiene il diniego parziale del Ministero della Difesa alle richieste di accesso civico all'Elenco dei portatori di interesse e al Registro degli incontri, ritenendo prevalenti i limiti all'accesso riconducibili alla tutela di interessi pubblici (difesa e questioni militari) e privati (dati commerciali e personali). Il Garante non può sindacare valutazioni organizzative relative alla massività delle richieste né procedere a una valutazione di merito senza coinvolgimento dei controinteressati. AI

Azienda Speciale per la Gestione degli Impianti Sportivi del Comune di Trento (A.S.I.S.)

Il Garante ha accertato l'illiceità del trattamento mediante videosorveglianza all'interno degli spogliatoi della piscina del centro sportivo Trento Nord (Gardolo, Trento), operato senza base giuridica e in violazione dei principi di liceità, correttezza, trasparenza e limitazione della conservazione. L'Azienda ha omesso di fornire adeguata informativa agli interessati (utenti e lavoratori) e non ha dimostrato la necessità di conservare i filmati per 72 ore. È stata comminata una sanzione pecuniaria di 8.000 euro, con pubblicazione dell'ordinanza sul sito del Garante, tenuto conto della disattivazione delle telecamere pochi giorni dopo la contestazione e della buona cooperazione dimostrata. AI

Agenzia Regionale per il lavoro dell'Emilia Romagna

Il Garante accerta la pubblicazione online e indicizzazione sui motori di ricerca di una graduatoria contenente i nominativi di circa 700 candidati senza valida base giuridica, violando gli artt. 5, 6 e 9 del GDPR. L'Agenzia Regionale è sanzionata con € 30.000 per aver diffuso dati personali anche di natura particolare in violazione della normativa sulla protezione dei dati, nonostante la convinzione errata, in buona fede, di perseguire finalità di trasparenza amministrativa. AI

Azienda sanitaria universitaria Friuli centrale (ASUFC)

Il Garante accerta la violazione delle norme sulla protezione dei dati personali per il trattamento illecito di dati sanitari attraverso il dossier sanitario aziendale, in particolare per l'accesso al dossier della reclamante per finalità diverse dalla cura, per l'assenza di controlli automatici sugli accessi e per un unico intervallo di blocco del pc di 30 minuti. La sanzione di 24.000 euro è riportata dalla newsletter del Garante dell'11 settembre 2026: nel provvedimento pubblicato le parti relative sono omesse in ottemperanza al decreto di sospensione parziale dell'efficacia esecutiva, con giudizio di opposizione pendente. AI

Comune di Battipaglia

Il Garante sostiene il diniego parziale dell'accesso civico generalizzato ai dati dei dipendenti coinvolti negli incentivi del settore tributi, ritenendo che le informazioni richieste in forma disaggregata e a livello individuale comportano alto rischio di re-identificazione. Il Comune potrà comunicare i dati solo attraverso adeguate tecniche di anonimizzazione e aggregazione che evitino la singolarità degli interessati. AI

E-distribuzione S.p.A.; Enel Global Services s.r.l.

Il Garante sanziona E-distribuzione S.p.A. (€ 36.000) ed Enel Global Services s.r.l. (€ 18.000) per violazione degli artt. 5, 12, 13 e 17 GDPR in relazione a moduli di raccolta consensi pre-flaggati durante una procedura di mobilità interaziendale. Le Società hanno sottoposto all'interessata consensi con caselle già spuntate, non rimovibili, per trattamenti di categorie particolari di dati e immagine, e la procedura non poteva essere conclusa senza la sottoscrizione. Il Garante ha inoltre accertato il mancato riscontro alla richiesta di revoca e opposizione della reclamante. Le Società hanno successivamente rimosso i consensi pre-flaggati e aggiornato l'informativa. AI

La Terrazza

Il Garante ha accertato l'illiceità del trattamento effettuato mediante impianto di videosorveglianza per violazione dei principi di liceità, trasparenza e limitazione dell'acquisizione ai soli dati pertinenti, dovuta all'assenza di informativa idonea e alla ripresa di spazi pubblici. È stata comminata sanzione pecuniaria di euro 700, ridotta da fattori attenuanti quali l'assenza di precedenti specifici e gli interventi correttivi successivi all'accertamento. AI

NIER Ingegneria S.p.a. Società Benefit

Il Garante accerta la violazione degli artt. 5 par. 1 lett. f) e 32 GDPR per inadeguate misure di sicurezza (assenza di MFA sulla VPN, blocco account debole, segmentazione di rete e backup insufficienti) che hanno consentito un attacco ransomware con compromissione della riservatezza e disponibilità di dati personali di un numero non determinabile di interessati, comunque superiore a 500 per la perdita di riservatezza. È irrogata sanzione di 120.000 euro. AI

Ecogenia S.r.l.

Il Garante accerta violazioni significative di norme GDPR e del Codice Privacy relative al telemarketing non autorizzato verso numeri iscritti al RPO, difetti nel consenso e gestione dei diritti degli interessati, e controllo insufficiente sui partner commerciali. Irrogata sanzione pecuniaria di 125.000 euro con prescrizioni volte ad adeguare le attività promozionali alla normativa vigente. AI

Comune di Terralba

Il Garante ha accertato l'illiceità dell'accesso non autorizzato effettuato dal Comune di Terralba al pc e all'account di posta elettronica di un dipendente assente per malattia, in violazione dei principi di liceità, correttezza e trasparenza e di responsabilizzazione. Il trattamento è avvenuto senza idoneo presupposto di liceità e senza una previa regolamentazione operativa, nonostante l'urgenza amministrativa addotta. È stata comminata una sanzione pecuniaria di euro 8.000,00. AI

Banco Bilbao Vizcaya Argentaria

Il Garante accerta violazioni degli artt. 5, 12, 21 e 24 del GDPR per il mancato rispetto del diritto di opposizione al marketing diretto manifestato da un utente attraverso le impostazioni dell'app e al servizio clienti. La Banca non ha sincronizzato correttamente la richiesta di opt-out tra i sistemi interni, proseguendo l'invio di comunicazioni commerciali in-app per 7 mesi. Il Garante impone una sanzione di 5.508.000 euro e prescrive l'adozione di misure tecniche e organizzative adeguate. AI

✓ Verificata il 19/10/2026

Azienda Ospedaliero-Universitaria di Bologna IRCCS

Il Garante accerta la violazione dei principi di liceità, correttezza e minimizzazione (art. 5 GDPR), la mancanza di idonea base giuridica (art. 6 GDPR) e dell'art. 9 GDPR per la pubblicazione online, sulla sezione Amministrazione Trasparente del sito aziendale, dell'elenco candidati idonei e non idonei a una procedura selettiva nel pubblico impiego, contenente nominativi di circa 90 partecipanti. All'Azienda ospedaliera è ordinato il pagamento di euro 10.000,00 quale sanzione amministrativa pecuniaria, con pubblicazione dell'ordinanza ingiunzione sul sito del Garante. AI

Top Secret Investigazioni e Sicurezza s.r.l.

Il Garante accerta la violazione degli artt. 5, par. 1, lett. a), c), e) e 13 GDPR per la persistente attivazione degli account di posta elettronica dei due reclamanti successivamente alla cessazione del rapporto di lavoro e per l'inidoneità dell'informativa resa. Viene inflitta una sanzione amministrativa di euro 6.500. AI

Ministero dell'Istruzione e del Merito - Ufficio Scolastico Regionale per la Lombardia

Il Garante accerta la violazione dei principi di liceità, correttezza e trasparenza e della base giuridica per il trattamento dei dati relativi a un provvedimento disciplinare di licenziamento, comunicati a una vasta platea di articolazioni amministrative senza idonea fondazione normativa. Applica una sanzione pecuniaria di 10.000 euro, considerando la condotta colposa e la buona cooperazione del titolare. AI

Istituto Omnicomprensivo Ancel Keys di Castelnuovo Cilento (SA)

Il Garante ha accertato la violazione della normativa sulla protezione dei dati personali in relazione alla comunicazione effettuata dall'Istituto al Sindaco riguardante l'esclusione di una minore dalla scuola per mancata osservanza dell'obbligo vaccinale, comportante la trasmissione di dati sensibili senza idonea base giuridica. È stata inflitta una sanzione amministrativa pecuniaria di euro 2.000. AI

Fabrizio Corona

Il Garante ha sanzionato Fabrizio Corona per la diffusione non autorizzata di un file audio estratto da una conversazione privata di Raoul Bova, pubblicato nel format 'Falsissimo'. I contenuti attengono alla sfera intima e affettiva dell'interessato e non rispettano il principio di essenzialità dell'informazione previsto dalle norme sulla libertà di informazione. La sanzione è commisurata alla volontà intenzionale di alimentare gossip e ai benefici finanziari derivati dalla monetizzazione. AI

Comune di Fenegrò

Il Garante nega l'accesso civico generalizzato ai dati delle autorizzazioni NCC (denominazione, sede, recapiti PEC e professionali) richiesti da una società. L'accesso è escluso perché la disciplina del Decreto Ministeriale n. 203/2024 subordina queste informazioni a specifici limiti e condizioni, e la divulgazione comporterebbe un pregiudizio concreto alla protezione dei dati personali dei titolari delle autorizzazioni. AI

Comune di Rieti

Il Garante ha accertato l'illiceità del trattamento effettuato dal Comune di Rieti per la pubblicazione erronea sull'Albo Pretorio e nella sezione Amministrazione Trasparente di una determinazione con allegati contenenti dati personali di oltre 31.000 cittadini (anagrafe, codice fiscale, dati TARI e catastali). Il Comune non ha comunicato adeguatamente la violazione agli interessati né valutato correttamente il rischio, in violazione degli artt. 5, 12, 24, 25, 32 e 34 del GDPR. È stata comminata sanzione di euro 6.000, con pubblicazione dell'ordinanza ingiunzione sul sito del Garante. AI

Comune di Cosio Valtellino

Il Garante nega l'accesso civico generalizzato ai dati delle autorizzazioni NCC richiesti dalla Società istante, in quanto subordinati da normativa ministeriale a specifiche condizioni e limiti, e la loro ostensione comporterebbe un pregiudizio concreto alla protezione dei dati personali dei titolari delle autorizzazioni, sproporzionato rispetto agli scopi di trasparenza amministrativa. AI

TIM S.p.A.

Il Garante accerta violazioni degli artt. 5, 6, 7, 12, 15-22, 24, 25, 28, 32 GDPR e art. 130 Codice Privacy da parte di TIM per il trattamento illecito di dati personali legato a comunicazioni promozionali non autorizzate e acquisizione di numerazioni telefoniche senza verifica della titolarità attraverso call center abusivi. Sono imposte misure correttive relative alle procedure di ricontatto, controllo dei partner e gestione dei diritti degli interessati. AI

✓ Verificata il 19/10/2026

Comune di Villaputzu

Il Garante sanziona il Comune di Villaputzu per aver pubblicato in Albo Pretorio online e in Amministrazione Trasparente una determina contenente il numero di matricola di una dipendente comunale, in assenza di idonea base giuridica e in violazione dei principi di liceità, correttezza, trasparenza e minimizzazione dei dati. Sebbene la violazione sia colposa e il Comune abbia adottato misure correttive, è stata irrogata una sanzione di euro 2.000 in considerazione del basso livello di gravità della violazione. AI

Comune di San Genesio ed Uniti

Il Garante ha accertato l'illiceità del trattamento di dati personali relativi all'appartenenza sindacale della reclamante e dati del rappresentante sindacale, effettuato dal Comune in assenza di base giuridica, in violazione degli artt. 5, 6 e 9 GDPR. La comunicazione a un ente destinatario di una procedura di mobilità è stata ritenuta priva di idonea base legale, nonostante l'erroneo convincimento del Comune che il destinatario fosse già a conoscenza dei dati. È stata comminata una sanzione di 2.000 euro, considerando il carattere episodico della violazione, la natura colposa della condotta e le limitate risorse dell'ente. AI

Azienda sanitaria universitaria Giuliano Isontina

Il Garante ha dichiarato l'illiceità del trattamento effettuato da ASUGI attraverso il dossier sanitario elettronico, la cui configurazione (autodichiarazioni di accesso, profili di autorizzazione non differenziati, assenza di alert e controlli a campione) ha consentito a due medici e due infermieri del reparto di pediatria di accedere ai dossier di quattro pazienti adulti non in cura, in violazione degli artt. 5, par. 1, lett. a) e f), 9, 25 e 32 del Regolamento. Tra i dati consultati, quelli di un paziente sarebbero stati usati, secondo quanto dichiarato dall'interessato, dall'ex coniuge in una causa di divorzio. Il Garante ha ordinato ad ASUGI, alla Regione e a Insiel di comunicare entro 30 giorni le misure adottate, riservandosi le misure correttive. Il Garante ha omesso parti del provvedimento in pendenza del giudizio di opposizione: il testo pubblicato non indica se sia stata irrogata una sanzione né il suo importo. AI

Università di Pisa

Il Garante accerta la comunicazione illecita di dati personali di studenti tramite portale di iscrizione agli esami senza idoneo fondamento giuridico e con misure di sicurezza inadeguate. Inflitti 15.000 euro di sanzione amministrativa pecuniaria per violazione degli articoli 5, 6, 25 e 32 del GDPR e dell'articolo 2-ter del Codice Privacy. AI

Società Editoriale Il Fatto S.p.A.

Il Garante dichiara illecito il trattamento di dati personali e dati sulla salute (ricovero ospedaliero) effettuato da testata giornalistica in articolo su incidente funiviario. La pubblicazione ha violato il principio di essenzialità dell'informazione e i principi di liceità, correttezza e minimizzazione, in quanto ha reso identificabile l'interessata, persona informata sui fatti, e ha diffuso con eccessivo dettaglio dati sulla sua salute, senza adeguato bilanciamento tra diritto di cronaca e tutela dei diritti fondamentali. Irrogata sanzione di 23.750 euro e ordinata pubblicazione del provvedimento sul sito dell'Autorità. AI

Cerved Group S.p.A.

Il Garante ha accertato il trattamento illecito dei dati personali da parte di Cerved Group S.p.A. per violazione dell'articolo 5, paragrafo 1, lettera a) (principio di trasparenza) e degli articoli 12 e 15 del GDPR (diritti degli interessati). La Società ha elaborato lo «Score Retail Utilities», usato nel software CGS-X per valutare l'affidabilità dei potenziali clienti dei fornitori di energia, e ha dato riscontri inadeguati e incompleti alle richieste di accesso ai dati personali (art. 15 GDPR), senza indicazioni su score, sotto-score e logica di calcolo. Il provvedimento ingiunge alla Società di conformarsi alla prescrizione entro 6 mesi e di pagare la sanzione di € 400.000,00 entro 30 giorni. È prevista la pubblicazione dell'ordinanza sul sito del Garante. AI

✓ Verificata il 19/10/2026

Hera Comm S.p.A.

Il Garante ha accertato l'illiceità del trattamento dei dati personali effettuato da Hera Comm S.p.A. mediante il software CGS-X per la verifica dell'affidabilità creditizia dei potenziali clienti. Le violazioni riguardano: mancanza di trasparenza (artt. 12, 13, 14), violazione dei principi di liceità, correttezza e lealtà (art. 5 par. 1 lett. a)), violazione del principio di limitazione della finalità (art. 5 par. 1 lett. b)), violazione del principio di esattezza (art. 5 par. 1 lett. d)), violazione del principio di limitazione della conservazione (art. 5 par. 1 lett. e)), violazione del diritto di accesso (art. 15) e carenze nella designazione del responsabile del trattamento (art. 28). La Società è ingiunta di conformarsi alle prescrizioni entro sei mesi e di pagare la sanzione entro trenta giorni dalla notifica. AI

✓ Verificata il 19/10/2026

Experian Italia S.p.A.

Il Garante dichiara illecito il trattamento effettuato da Experian Italia S.p.A. dei dati personali ai fini del calcolo dello Score ESX utilizzato nel servizio CGS-X per la valutazione dell'affidabilità dei clienti nel settore energetico. Violazioni accertate: art. 5, par. 1, lettere a) e c) (liceità, correttezza e trasparenza; minimizzazione dei dati), artt. 12, 15 e 25 del GDPR (modalità di riscontro all'interessato, accesso ai dati, privacy by design). La Società è ingiunta di conformarsi alle prescrizioni entro 6 mesi dalla notifica ed è condannata al pagamento di € 120.000,00 entro 30 giorni dalla notifica. È disposta la pubblicazione dell'ordinanza sul sito del Garante. AI

EstEnergy S.p.A.

EstEnergy S.p.A. ha effettuato illecito trattamento di dati personali per valutazione affidabilità creditizia clienti attraverso il sistema CGS-X, senza corretta informazione agli interessati e violando i diritti di accesso. Violazioni accertate: artt. 5(1)(a,b,d,e), 12, 13, 14, 15 e 28 GDPR. La società ha negato forniture energetiche sulla base di score creditizi senza trasparenza e senza dare riscontro corretto alle richieste di accesso: secondo gli istanti, Cerved ed Experian, interpellate, dichiaravano di non avere informazioni negative su di loro. Prescritto il ripristino della conformità entro sei mesi dalla notifica e pagamento della sanzione entro 30 giorni. AI

✓ Verificata il 19/10/2026

Character Technologies

{"modo":"applica","errori":0,"da_scrivere":44,"gia_corrette":0,"righe_foglio":40,"totale":44,"righeLette":451} AI

Comune di Luisago

Il Garante esprime parere negativo sulla richiesta di accesso civico generalizzato ai dati delle autorizzazioni NCC presentata da una società privata. L'accesso è escluso perché la disciplina del Decreto Ministeriale n. 203/2024 subordina l'accesso a specifiche condizioni e limiti, e l'ostensione dei dati comporterebbe pregiudizio concreto alla protezione dei dati personali dei soggetti interessati, alterando il regime di conoscibilità previsto per la banca dati nazionale RENT. AI

Comune di Buglio in Monte

Il Garante esprime parere negativo sulla richiesta di accesso civico generalizzato a dati relativi alle autorizzazioni NCC, ritenendo che l'ostensione di informazioni come sede operativa, indirizzo PEC e recapiti personali costituirebbe un pregiudizio ingiustificato e sproporzionato alla protezione dei dati personali dei titolari delle autorizzazioni. L'accesso è escluso in quanto la disciplina ministeriale (DM 203/2024) subordina l'accesso a specifiche condizioni e limiti, e la conoscenza generalizzata di tali dati non risulta strumentale al controllo delle funzioni istituzionali o alla partecipazione al dibattito pubblico. AI

Comune di Tresivio

Il Garante esprime parere negativo sulla richiesta di accesso civico generalizzato alle informazioni relative alle autorizzazioni NCC, escludendo l'accesso ai dati personali come sede operativa, indirizzo PEC e recapiti dei titolari. La conoscenza generalizzata di tali informazioni comporterebbe un'interferenza ingiustificata nei diritti e libertà dei soggetti interessati, in violazione della disciplina sulla protezione dei dati personali, confermando precedenti orientamenti del Garante. AI

Comune di Teglio - Responsabile della prevenzione della corruzione e della trasparenza

Il Garante esprime parere negativo sulla richiesta di accesso civico generalizzato ai dati delle autorizzazioni NCC presentata da una società privata, escludendo l'accesso perché la disciplina vigente (D.M. n. 203/2024, RENT) lo subordina a specifici limiti e condizioni. Quanto ai dati non previsti dal RENT (es. sede operativa, PEC, recapiti), la conoscenza generalizzata determinerebbe un'interferenza ingiustificata e sproporzionata nei diritti e libertà dei controinteressati, con possibile pregiudizio alla tutela dei dati personali, in contrasto con i principi di limitazione della finalità e minimizzazione dei dati del RGPD. AI

Comune di Poggiridenti

Il Garante esprime parere negativo sulla richiesta di accesso civico generalizzato ai dati delle autorizzazioni NCC, ritenendo che l'ostensione delle informazioni richieste (sede legale/operativa, indirizzi PEC, recapiti) comporterebbe un possibile pregiudizio alla protezione dei dati personali dei titolari delle autorizzazioni. L'accesso è escluso poiché la disciplina del Decreto Ministeriale n. 203/2024 subordina l'accesso a specifiche condizioni e limiti, e la pubblicazione altererebbe il regime di conoscibilità previsto dal legislatore nazionale per il RENT. AI

Comune di Samolaco - Responsabile della prevenzione della corruzione e della trasparenza

Il Garante esprime parere negativo sulla concessione dell'accesso civico generalizzato ai dati relativi alle autorizzazioni NCC richiesti da una società. L'accesso deve essere escluso poiché subordinato da norme specifiche a limiti e condizioni, e la conoscibilità generale comporterebbe un pregiudizio concreto alla protezione dei dati personali dei titolari delle autorizzazioni, in particolare per dati come sede legale, PEC e recapiti professionali di ditte individuali. AI

Acquirente Unico S.p.A.

Il Garante accerta violazioni degli artt. 12, 16 e 28 GDPR da parte di Acquirente Unico S.p.A. nella gestione del Sistema informativo integrato, con particolare riferimento all'inadeguata risposta alle istanze di rettifica dati personali e alla presenza di circa 11.711 clienti ultracentenari con 25.713 forniture attive. Prescrizioni di conformità entro 9 mesi. Il Garante ha omesso parti del provvedimento in pendenza del giudizio di opposizione: il testo pubblicato non indica l'importo della sanzione. AI

Docplanner Italy S.r.l.

Il Garante ha sanzionato Docplanner Italy per violazione degli articoli 5 e 32 del GDPR in seguito a un attacco ransomware che ha interessato i server della divisione GIPO. Sebbene l'analisi forense abbia evidenziato solo tentativi di esfiltrazione senza conferma di sottrazione effettiva di dati, la Società non aveva implementato adeguate misure tecniche e organizzative di sicurezza: assenza di strumenti per rilevare tempestivamente le attività anomale, autenticazione inadeguata con utenze amministrative non individuali, apparati di sicurezza non aggiornati. AI

Altroconsumo Edizioni s.r.l.

Il Garante sanziona Altroconsumo Edizioni per invio di comunicazioni commerciali indesiderate senza idonea base giuridica, mancata osservanza del diritto di opposizione e mancata cooperazione con l'Autorità. Sanzione di 280.000 euro composta da 180.000 euro per le violazioni substantive e 100.000 euro per il mancato riscontro alle richieste di informazioni. AI

✓ Verificata il 19/10/2026

Responsabile della prevenzione della corruzione e della trasparenza (RPCT) del Comune di Galbiate

Il Garante esprime parere negativo sulla richiesta di accesso civico generalizzato presentata da una società privata per ottenere l'elenco delle autorizzazioni NCC attive, ritenendo che l'ostensione dei dati personali (sede legale, indirizzi PEC, recapiti) determinerebbe un'interferenza ingiustificata nei diritti dei soggetti controinteressati. Il diniego è motivato dal fatto che tali informazioni non risultano strumentali al controllo delle funzioni istituzionali e rappresentano una sproporzionata duplicazione di dati da un registro nazionale, con rischio di usi impropri incompatibili con le finalità originarie della raccolta. AI

Cosmint S.p.A.

Il Garante sanziona Cosmint S.p.A. con 6.600 euro per violazione dei principi di correttezza e trasparenza del trattamento dei dati personali e della liceità del trattamento stesso. La società ha aperto e svuotato l'armadietto personale di un dipendente somministrato in sua assenza dopo la cessazione del rapporto di lavoro, distruggendo il contenuto. Inoltre, la società ha violato l'obbligo di rispondere alle richieste di informazioni dell'Autorità di controllo. AI

Fluyda Srl Società Benefit in liquidazione

Il Garante ha sanzionato Fluyda Srl per violazione degli articoli 157 e 166, comma 2 del Codice Privacy, avendo omesso di rispondere alla richiesta di informazioni del Garante. È stata irrogata una sanzione amministrativa di 1.000 euro e ingiunto al titolare di soddisfare le richieste di esercizio dei diritti dell'interessata e di informare il Garante dell'adempimento entro 30 giorni. AI

Edizioni Grandangolo di Giuseppe Castaldo

Il Garante ha irrogato una sanzione di 2.075 euro a una testata giornalistica online per violazioni del GDPR riguardanti: omessa notifica di una violazione di dati personali derivante da un attacco informatico all'account e-mail redazionale, mancata adozione di misure di sicurezza adeguate, assenza di informativa privacy sul sito e mancata dimostrazione degli adempimenti (accountability). La sanzione tiene conto di fattori attenuanti quali l'esercizio del diritto di cronaca, l'adozione di misure correttive successive alla contestazione e le limitate condizioni economiche del titolare. AI

Comune di Vasto

Il Garante sanziona il Comune di Vasto per violazioni del GDPR relative a un sistema di videosorveglianza per il rilevamento delle infrazioni stradali. Le violazioni riguardano la mancanza di informative adeguate agli interessati, la mancata esecuzione tempestiva della valutazione d'impatto e l'insufficiente minimizzazione dei dati raccolti. Il Comune è tenuto al pagamento di 5.000 euro e all'adozione di misure correttive, con comunicazione delle iniziative entro 30 giorni. AI

Comune di Sant'Angelo Lodigiano - Responsabile della prevenzione della corruzione e della trasparenza

Il Garante si pronuncia sulla richiesta di riesame di un diniego di accesso civico relativo a documenti sanitari e personali del genitore del richiedente. Il parere conferma il rifiuto dell'accesso poiché i documenti contengono dati sulla salute soggetti a divieto assoluto di diffusione, e ulteriore documentazione personale comporterebbe pregiudizio concreto alla protezione dei dati personali del controinteressato. AI

Azienda Sanitaria Provinciale di Enna

Il Garante ha sanzionato l'Azienda Sanitaria Provinciale di Enna per aver pubblicato e diffuso online dati personali e giudiziari di un interessato in violazione dei principi di liceità, correttezza, trasparenza e minimizzazione dei dati. Nonostante la richiesta di cancellazione, i dati sono rimasti inavvertitamente visibili in un'altra sezione del sito. La sanzione di 20.000 euro è stata comminata anche per la mancata cancellazione completa dei dati, con obbligo di pagamento entro 30 giorni dalla notifica. AI

One Network S.r.l.

One Network S.r.l., operante come agente di vendita Kena Mobile, ha attivato sei utenze telefoniche a nome di un cliente senza il suo consenso, violando i principi di liceità e le disposizioni informative del GDPR. Il Garante ha accertato il trattamento illecito dei dati personali e imposto il divieto di ulteriore trattamento. Il Garante ha omesso parti del provvedimento in pendenza del giudizio di opposizione: il testo pubblicato non indica l'importo della sanzione. AI

Comune di Brescia

Il Garante esprime parere non favorevole sulla DPIA relativa al sistema di body cam della Polizia locale di Brescia per gravi criticità in materia di protezione dei dati, segnatamente: gestione esclusiva delle chiavi crittografiche da parte del fornitore, rischio di trasferimento dati in Paesi terzi, mancata verifica sulla liceità del trattamento dei non-content data e inadeguate garanzie sui sub-responsabili. AI

Città Metropolitana di Sassari

Il Garante sanziona la Città Metropolitana di Sassari per violazione degli artt. 5, par. 1, lett. a) e f), e par. 2, 6, 9, 10 e 25 del Regolamento e degli artt. 2-ter, 2-sexies e 2-octies del Codice nella configurazione del protocollo informatico, che ha consentito l'accesso non autorizzato a dati personali delicati afferenti a segnalazioni disciplinari. La violazione ha riguardato tutti i dati transitati sul sistema e si è protratta fino alla riconfigurazione del sistema durante l'istruttoria. AI

Titolare di uno studio professionale in Cassano Irpino (AV)

Il Garante sanziona il titolare di uno studio per l'installazione di un sistema di videosorveglianza che riprendeva spazi pubblici senza informativa, in violazione dei principi di liceità, minimizzazione e trasparenza. Le telecamere acquisivano anche segnale audio in assenza di adeguata base giuridica e informazione agli interessati. Il titolare ha successivamente rimosso le riprese di aree pubbliche, disattivato la funzionalità audio e installato cartelli informativi. AI

Green Partner S.r.l.s.

Il Garante sanziona Green Partner S.r.l.s., responsabile del trattamento per conto di Sorgenia S.p.A., per aver effettuato una comunicazione promozionale (telefonata e email) a un numero iscritto al Registro Pubblico delle Opposizioni, senza dimostrare la lecita provenienza dei dati, per essersi avvalsa del sub-responsabile Vanille Service S.r.l.s. senza autorizzazione del titolare e per l'inadeguato riscontro alle istanze di esercizio dei diritti. L'errore di digitazione addotto dalla società non è stato ritenuto credibile. AI

ASL Lecce

Il Garante dichiara l'illiceità del trattamento di dati personali effettuato dalla ASL Lecce presso l'U.O.C. di Urologia del Presidio Ospedaliero 'Vito Fazzi' di Lecce. Sono state accertate violazioni relative a: mancata designazione formale delle persone autorizzate al trattamento; mancata documentazione delle istruzioni impartite al personale (fornite solo oralmente); omissione di misure organizzative per la consapevolezza degli autorizzati, compresa un'adeguata formazione (nessuno dei 44 dipendenti del reparto aveva frequentato corsi sulla privacy), in violazione del principio di responsabilizzazione. L'Azienda è condannata al pagamento di una sanzione amministrativa pecuniaria di € 4.500 e alla pubblicazione del provvedimento sul sito del Garante. AI

Istituto Professionale Statale Pietro d'Abano Servizi per l'Enogastronomia e l'Ospitalità Alberghiera (IPSEOA)

Il Garante ha sanzionato l'Istituto Professionale Statale Pietro d'Abano per la comunicazione illecita di dati personali di uno studente minore effettuata attraverso il registro elettronico Classeviva. Un docente ha pubblicato una nota contenente valutazioni e informazioni riguardanti il figlio del reclamante nell'agenda di classe, rendendola visibile a tutti gli studenti della classe e alle relative famiglie, per errore materiale nel mancato corretto utilizzo della funzione di personalizzazione della visibilità. La violazione è stata rimossa dopo alcuni giorni. La sanzione di € 1.000,00 tiene conto della gravità bassa della violazione, della natura limitata del dato diffuso, dell'esiguità del numero di destinatari, della rapida rimozione del contenuto e della piena collaborazione dell'istituto. AI

Responsabile della prevenzione della corruzione e della trasparenza del Comune di Montirone

Il Garante esprime parere negativo sulla richiesta di accesso civico generalizzato formulata da una Società nei confronti del Comune di Montirone per l'elenco delle autorizzazioni NCC attive con indicazione di dati personali quali sede legale, indirizzi PEC e ulteriori recapiti professionali. Il diniego è fondato sulla tutela dei dati personali degli interessati (persone fisiche titolari di ditte individuali) e sulla circostanza che l'accesso risulta subordinato a specifiche condizioni e limiti previsti dalla disciplina di settore (Decreto Ministeriale n. 203/2024) che ne limitano la conoscibilità. AI

Responsabile della prevenzione della corruzione e della trasparenza del Comune di Castegnato

Il Garante ritiene che l'accesso civico alle informazioni richieste dalla Società riguardanti le autorizzazioni NCC rilasciate dal Comune di Castegnato vada escluso in quanto l'accesso è subordinato dalla disciplina vigente al rispetto di specifiche condizioni, modalità e limiti contenuti nel Decreto Ministeriale n. 203/2024. Inoltre, la conoscenza generalizzata dei dati richiesti (sede operativa, PEC, recapiti) non risulta strumentale al controllo diffuso sul perseguimento delle funzioni istituzionali e sull'utilizzo delle risorse pubbliche e determina un'interferenza ingiustificata e sproporzionata nei diritti e libertà dei soggetti controinteressati, arrecando un possibile pregiudizio alla tutela dei dati personali. AI

Responsabile della prevenzione della corruzione e della trasparenza (RPCT) del Comune di Laino

Il Garante esprime parere sfavorevole sulla concessione dell'accesso civico generalizzato ai dati richiesti dalla Società riguardanti le autorizzazioni NCC, inclusi sede operativa, indirizzo PEC e ulteriori recapiti professionali. L'accesso va escluso ai sensi dell'art. 5-bis, comma 3, perché il Decreto Ministeriale n. 203/2024 sul RENT subordina la conoscibilità di questi dati a specifici limiti e condizioni. In ogni caso, la conoscenza generalizzata dei dati riferiti a ditte individuali non risulta strumentale al controllo diffuso sulle funzioni istituzionali e determina un'interferenza ingiustificata e sproporzionata, con possibile pregiudizio alla protezione dei dati personali. AI

Spinbridge S.p.A.

Il Garante dichiara l'illiceità del trattamento effettuato da Spinbridge S.p.A., responsabile del trattamento, per violazione dell'art. 28, par. 3, lettere a), h) ed e) del GDPR, per non aver messo a disposizione del titolare (Europa Factor S.p.A.) il dato di contatto del debitore acquisito tramite fornitore esterno e per non aver trasmesso l'istanza di accesso dell'interessato, e irroga una sanzione amministrativa pecuniaria di € 30.000,00. AI

Europa Factor S.p.A.

Il Garante ha accertato che Europa Factor S.p.A., titolare del trattamento, ha violato gli articoli 5, par. 1, lettere a) e d) e par. 2, e 24 del Regolamento (UE) 2016/679 in relazione al trattamento di dati personali di un debitore nell'ambito di attività di recupero crediti. In particolare, è stata rilevata l'acquisizione di un numero telefonico del debitore non comunicato dallo stesso e non trasmesso dal titolare al responsabile del trattamento (Spinbridge S.p.A.), nonché l'inosservanza delle istruzioni fornite al responsabile. Il Garante ha inoltre rilevato l'insufficienza delle misure di controllo e verifica adottate nei confronti del responsabile del trattamento. A fronte di diverse circostanze attenuanti, tra cui il carattere colposo della violazione, l'adozione di misure correttive durante il procedimento, la collaborazione del titolare e l'assenza di precedenti violazioni pertinenti, è stata irrogata una sanzione di euro 50.000,00. AI

Ristorante Carlo Menta s.r.l.

Il Garante ordina il pagamento di una sanzione amministrativa pecuniaria di euro 1.400,00 nei confronti di Ristorante Carlo Menta s.r.l. per la violazione dei principi di trasparenza nella gestione di un impianto di videosorveglianza. La società non aveva installato idonei cartelli informativi volti a rendere edotti gli interessati della presenza del sistema di videosorveglianza, costituendo violazione degli articoli 5, paragrafo 1, lettera a) e 13 del Regolamento (UE) 2016/679. Il Garante ingiunge inoltre l'adeguamento della cartellonistica con l'integrazione del contenuto informativo minimo e il corretto posizionamento delle informative in prossimità delle aree interne ed esterne oggetto di sorveglianza. AI

Rosetta Trastevere s.r.l.s.

Il Garante dichiara illecito il trattamento di dati personali effettuato mediante impianto di videosorveglianza presso il laboratorio artigianale La Fornarina a Roma, per violazione del principio di trasparenza di cui agli artt. 5, par. 1, lett. a) e 13 del Regolamento (UE) 2016/679, a causa della mancanza di idonei cartelli informativi sulla presenza del sistema di videosorveglianza. Irrogata sanzione di euro 700,00 e ingiunto l'adeguamento della cartellonistica con informazioni complete sul titolare del trattamento e diritti degli interessati. AI

Action Fit s.r.l.

Il Garante accerta che Action Fit s.r.l. ha inviato all'interessato almeno 6 comunicazioni di carattere commerciale via e-mail in assenza di consenso valido e nonostante l'espressa opposizione manifestata sia durante la stipula del contratto che successivamente. La Società ha altresì omesso di fornire riscontro alle istanze dell'interessato relative al diritto di opposizione e non ha risposto alla richiesta di informazioni del Garante. Comminate sanzioni pecuniarie per violazioni degli artt. 6, par. 1, lett. a), 12, 21, par. 2 del Regolamento e artt. 130, 157 del Codice Privacy. AI

Croce Rossa Italiana – Comitato regionale Toscana - Presidio Anna Torrigiani

Il Garante ha accertato la violazione dei principi di minimizzazione, integrità e riservatezza dei dati personali da parte della Croce Rossa Italiana – Comitato regionale Toscana - Presidio Anna Torrigiani per aver indicato la condizione di HIV/HCV di una paziente, unitamente al nome e cognome, nell'ambito del servizio di vitto (foglio sul vassoio del pasto), in violazione degli artt. 5 (par. 1, lett. c e f), 9 del Regolamento (UE) 2016/679 e dell'art. 75 del Codice Privacy. È stata inoltre accertata la violazione dell'art. 157 del Codice per il mancato riscontro alla richiesta di informazioni. Il Garante ha irrogato una sanzione complessiva di euro 700,00 e disposto la pubblicazione dell'ordinanza-ingiunzione sul sito internet dell'Autorità. AI

Regione Autonoma della Sardegna

Il Garante dichiara l'illiceità del trattamento effettuato dalla Regione Autonoma della Sardegna per violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento (UE) 2016/679 nonché 2-ter del Codice Privacy. La violazione consiste nella comunicazione non autorizzata di dati relativi al rendimento lavorativo di una dipendente (scheda di valutazione della performance) all'Amministrazione presso cui la stessa aveva da poco preso servizio, mediante trasmissione anche all'indirizzo PEC di tale Amministrazione, in assenza di motivi che la giustificassero. Il Garante ordina il pagamento di una sanzione amministrativa pecuniaria di € 3.000,00, ritenuta effettiva, proporzionata e dissuasiva, e dispone la pubblicazione dell'ordinanza sul sito web del Garante. AI

Comune di Sciacca

Il Comune di Sciacca ha pubblicato sul proprio sito web istituzionale una determina dirigenziale riguardante le dimissioni volontarie di un dipendente, contenente i dati personali dello stesso, in violazione dei principi di liceità, correttezza, trasparenza e minimizzazione dei dati. AI

Azienda Tutela della Salute per la Liguria

Il Garante ha sanzionato l'Azienda Tutela della Salute per la Liguria per il trattamento illegittimo di dati personali relativi alla geolocalizzazione di veicoli aziendali utilizzati da dipendenti. Il sistema di localizzazione satellitare ha comportato un monitoraggio sostanzialmente continuo dei dipendenti conducenti, con violazioni della proporzionalità del trattamento, mancanza di adeguate valutazioni di impatto, insufficiente informativa agli interessati, e utilizzo dei dati a fini disciplinari. Il Garante ha irrogato una sanzione di euro 6.000,00, considerando il trattamento come violazione di gravità media. AI

Responsabile della prevenzione della corruzione e della trasparenza del Comune di Brescia

Il Garante esprime parere negativo sulla concessione dell'accesso civico generalizzato ai dati richiesti da una società privata relativi alle autorizzazioni NCC attive presso il Comune di Brescia. Il Garante ritiene che l'accesso vada escluso ai sensi dell'art. 5-bis, comma 3, perché il D.M. n. 203/2024 sul RENT subordina l'accesso a specifici limiti e condizioni. Inoltre la conoscenza generalizzata di sede operativa (per le ditte individuali), indirizzi PEC e ulteriori recapiti professionali comporterebbe un possibile pregiudizio alla tutela dei dati personali e non risulta strumentale al controllo diffuso e alla partecipazione al dibattito pubblico. Il Garante precisa che i dati relativi a persone giuridiche, società e associazioni non sono dati personali e restano soggette alle altre valutazioni dell'amministrazione sugli ulteriori limiti all'accesso. AI

Responsabile della prevenzione della corruzione e della trasparenza del Comune di Lomazzo

Il Garante esprime parere negativo sulla richiesta di accesso civico generalizzato relativa all'elenco completo delle autorizzazioni NCC attive. La richiesta includeva denominazione, sede operativa, PEC e recapiti dei titolari di autorizzazione. Il Garante rileva che l'accesso va escluso ai sensi dell'art. 5-bis, comma 3, perché il D.M. n. 203/2024 subordina l'accesso ai dati del RENT a specifici limiti e condizioni. Rileva inoltre che i dati relativi a ditte individuali possono costituire dati personali se consentono l'identificazione di una persona fisica. La conoscenza generalizzata di sede operativa, PEC e recapiti determinerebbe un'interferenza ingiustificata e sproporzionata nei diritti dei controinteressati, non strumentale alle finalità di controllo diffuso e partecipazione al dibattito pubblico. L'ostensione altererebbe il regime di conoscibilità del RENT, consentendo una duplicazione dei dati da parte di privati e rischi di riutilizzo per finalità incompatibili. AI

Comune di Mirabella Imbaccari

Il Garante ha sanzionato il Comune di Mirabella Imbaccari per aver pubblicato online, senza idonea base normativa e in violazione del principio di minimizzazione, delibere di giunta contenenti dati personali in chiaro del ricorrente, nonché per la mancata nomina del Responsabile della protezione dei dati con omessa comunicazione dei contatti all'Autorità. AI

Wind Tre S.p.A.

Il Garante sanziona Wind Tre S.p.A. per violazioni del GDPR derivanti da due data breach occorsi presso punti vendita nel febbraio 2025, in cui ignoti attaccanti hanno ottenuto accesso non autorizzato mediante tecniche di social engineering. Le criticità accertate riguardano l'inadeguata gestione e conservazione dei certificati digitali, l'assenza di password manager e di controlli appropriati sulle API. Il secondo evento ha coinvolto 365.048 clienti. La sanzione di Euro 1.715.600,00 tiene conto delle misure correttive tempestivamente adottate dalla Società come elemento attenuante. AI

✓ Verificata il 19/10/2026

Ditta individuale Francesco Gagliardi

Il Garante accerta violazioni della normativa sulla protezione dei dati personali nella condotta della ditta Francesco Gagliardi, che ha effettuato attività di marketing tramite invio di comunicazioni promozionali sulla base di circa 2.500 contatti acquistati dalla piattaforma Apollo, senza il previo consenso richiesto dall'art. 130 del Codice e senza adeguata informazione agli interessati. AI

Riserva di caccia di Danta di Cadore

Il Garante ha accertato l'illiceità del trattamento di dati personali effettuato mediante fototrappole installate dalla Riserva di caccia di Danta di Cadore per la violazione degli articoli 5, paragrafo 1, lettera a) e 13 del GDPR, in quanto le immagini sono state rilevate senza idonea informativa e cartellonistica. Il sistema, sebbene destinato al monitoraggio della fauna selvatica e utilizzato in un'area impervia con un numero limitato di dispositivi, ha ripreso una persona fisica le cui immagini sono state successivamente utilizzate in un procedimento giudiziario. Il Garante ha irrogato una sanzione amministrativa pecuniaria di € 1.000,00, tenendo conto della natura colposa della condotta, della platea assai circoscritta di interessati, dell'assenza di precedenti specifici e della piena collaborazione del titolare. AI

Lidl Italia S.r.l.

Il Garante accerta che Lidl Italia S.r.l. ha violato i diritti di accesso e di limitazione del trattamento dati di un cliente. Il reclamante ha presentato tre richieste tempestive e dettagliate (27, 28 e 29 giugno 2025) per accedere alle immagini di videosorveglianza e limitarne il trattamento, fornendo informazioni precise (punto vendita, data, orario e descrizione dei fatti). La Società ha condizionato l'esercizio del diritto alla compilazione di una modulistica aggiuntiva e ha cancellato le immagini senza autorizzazione, ignorando anche la richiesta esplicita di limitazione del trattamento. Il Garante rileva violazioni degli obblighi di trasparenza, tempestività e corretta gestione delle istanze di esercizio dei diritti, nonché la cancellazione illegittima dei dati. AI

Vortika s.r.l.

Il Garante accerta violazioni degli artt. 5, par. 1 lett. a), 13, 14 e 37 del GDPR commesse da Vortika s.r.l. nella gestione della Clinica Dottor D. La società ha fornito informative incomplete ai pazienti, prive degli elementi richiesti dall'art. 13, non ha designato il responsabile della protezione dei dati e non ha correttamente specificato le basi giuridiche e le finalità dei trattamenti. Il Garante iroga una sanzione di € 30.000,00 e ingiunge l'adozione di misure correttive entro 90 giorni. AI

FeGi M&A Services s.r.l.

Il Garante dichiara illecito il trattamento di dati personali effettuato dalla FeGi M&A Services s.r.l. mediante acquisizione da piattaforma Lusha di circa 700 numeri telefonici e 400 indirizzi e-mail per finalità di marketing e telemarketing, in assenza di idonea base giuridica, valido consenso e informativa agli interessati. Impone il divieto di trattamento dei dati acquisiti in violazione e la loro cancellazione, nonché il pagamento di una sanzione amministrativa di € 1.000,00. AI

Energia Sostenibile S.r.l.

Il Garante dichiara illecito il trattamento effettuato da Energia Sostenibile S.r.l. nel contesto di attività di telemarketing e teleselling caratterizzate da contatti non autorizzati verso utenze iscritte al Registro Pubblico delle Opposizioni, mancata informativa agli interessati, utilizzo di numerazioni non registrate presso il Registro degli Operatori di Comunicazione, e inidoneo riscontro alle richieste di esercizio dei diritti. Impone l'adozione di misure adeguate per garantire la liceità della filiera del trattamento, la selezione di responsabili del trattamento con garanzie sufficienti e competenze adeguate, e una vigilanza effettiva sugli incaricati. Irroga una sanzione amministrativa pecuniaria di euro 100.000,00 e applica la sanzione accessoria della pubblicazione del provvedimento sul sito del Garante. AI

Emirates

Emirates ha violato il GDPR nel raccogliere dati sanitari di passeggeri a mobilità ridotta mediante il modulo MEDIF senza fornire un'informativa adeguata sul trattamento e senza definire tempi di conservazione idonei. Il Garante ha accertato la violazione degli artt. 5, par. 1, lett. a) ed e), 12 e 13 del Regolamento, mentre non ha ravvisato violazioni quanto a liceità, basi giuridiche e art. 9 del Regolamento, prendendo atto del parere dell'ENAC. AI

Comune di Ventasso

Il Garante dichiara l'illiceità del trattamento effettuato dal Comune di Ventasso per violazione degli artt. 5, 6 e 9 del Regolamento (UE) 2016/679 nonché dell'art. 2-ter e 2-septies, comma 8 del d.lgs. 196/2003. La violazione consiste nella pubblicazione online dell'elenco dei candidati ammessi a una procedura concorsuale riservata ai disabili, nella quale erano indicati giorno, ora e luogo della convocazione, rivelando dati relativi alla salute di 12 interessati. La pubblicazione è avvenuta dal XX al XX sulla pagina web del Comune e successivamente è rimasta accessibile tramite link comunque accessibile da chiunque fino al XX, in occasione della richiesta di informazioni dell'Autorità. Il Garante ritiene la violazione di gravità media, considerando le difficoltà organizzative del Comune derivanti dall'adesione all'Unione Montana, la collaborazione prestata, l'assenza di precedenti pertinenti violazioni e le iniziative intraprese per conformarsi alla normativa. Irroga una sanzione di € 8.000,00. AI

Ventive S.r.l.

Il Garante dichiara illecito e irroga sanzione amministrativa di € 4.000,00 a Ventive S.r.l. per aver effettuato trattamenti di dati personali per finalità di marketing mediante acquisizione di contatti dalla piattaforma Lusha in assenza di idonea base giuridica (consenso ex art. 130 Codice) e di adeguata informazione agli interessati, violando i principi di liceità, correttezza e trasparenza. AI

A.O.R.N. Azienda ospedaliera dei colli

Il Garante dichiara l'illiceità del trattamento di dati personali effettuato mediante il dossier sanitario ASAP_sio gestito dall'Azienda per violazioni relative a: mancanza di consenso specifico per la consultazione di dati pregressi; visibilità eccessiva dei dati ai professionisti sanitari attraverso la funzione ricerca paziente; accesso ai dossier di pazienti non in cura presso l'operatore; insufficienti misure di sicurezza e trasparenza. Irrogata sanzione di € 15.000,00. AI

Dott.ssa Immacolata Guzzo

La dott.ssa Guzzo ha violato i principi di liceità, correttezza e trasparenza, nonché il divieto di trattamento di dati sensibili, pubblicando su un sito congressuale un poster contente la fotografia di un minore defunto con informazioni relative alla sua salute, senza un valido consenso del legale rappresentante per tale diffusione. Sebbene i dati siano stati pseudonimizzati e la dottoressa abbia agito in buona fede, ritenendo di aver anonimizzato adeguatamente i dati, la condotta ha costituito violazione degli artt. 5, par. 1, lett. a), b) e c) e 9 del GDPR nonché dell'art. 2-septies, comma 8, del Codice Privacy. La dottoressa si è attivata prontamente per richiedere la rimozione dei contenuti, fatto valutato favorevolmente nella quantificazione della sanzione. AI

Tirrenia Hospital S.r.l.

Il Garante ha accertato la violazione dell'art. 92, comma 1, del Codice Privacy da parte di Tirrenia Hospital S.r.l. per mancanza di idonei accorgimenti volti ad assicurare la comprensibilità dei dati relativi alla salute contenuti nella cartella clinica, redatta con grafia indecifrabile e di cui il reclamante aveva richiesto la trascrizione dattiloscritta. La struttura ha poi dattiloscritto la documentazione e adottato accorgimenti migliorativi, compresa l'indicazione per esteso dei nominativi del personale sanitario, ma la violazione è stata comunque accertata. La sanzione è stata quantificata in euro 1.000,00, considerando il livello di gravità lieve, la natura isolata del caso, l'assenza di dolo, le misure adottate, la collaborazione della struttura e il fatto che la violazione è stata conosciuta a seguito di reclamo. AI

Lepida S.c.p.A.

Il Garante dichiara l'illiceità dei trattamenti di dati personali effettuati da Lepida S.c.p.A. relativamente alla gestione dell'identità digitale LepidaID per violazione degli artt. 5 par. 1 lett. c), e), f), art. 13 par. 1 lett. a), e artt. 25 e 32 del GDPR. Sono stati accertati: accesso eccessivamente ampio degli operatori ai dati e ai documenti degli utenti; conservazione dei documenti sulle postazioni degli sportelli; assenza di verifiche automatizzate presso le banche dati autoritative; conservazione dei log delle transazioni oltre 24 mesi; informativa non corretta sulla titolarità. Archiviata parzialmente la contestazione relativa alle modalità di conservazione del tracciamento delle transazioni. Ordinato il pagamento di € 100.000,00 con pubblicazione dell'ordinanza ingiunzione. AI

Nuova Corrente S.r.l.

Il Garante accerta il trattamento illecito effettuato da Nuova Corrente S.r.l., riconducibile a violazioni dei principi di base del trattamento, delle condizioni relative al consenso, dei diritti degli interessati e degli obblighi di accountability. La Società ha acquisito dati personali attraverso una catena di intermediari a partire dal portale offertegratis.com senza acquisire un valido consenso, ha utilizzato tali dati per finalità di telemarketing e ha fornito riscontro all'istanza di accesso ai dati soltanto in seguito alla richiesta dell'Autorità. Il Garante condanna la Società al pagamento di una sanzione amministrativa pecuniaria di euro 15.000,00 e dispone la pubblicazione del provvedimento sul sito del Garante. AI

Pianeta s.r.l.

Il Garante accerta violazioni delle disposizioni GDPR da parte di Pianeta s.r.l. in relazione al trattamento illecito di dati personali della reclamante nel contesto del rapporto di lavoro e dell'utilizzo della Carta Insieme Conad. La società ha violato i principi generali di liceità, correttezza, trasparenza e limitazione della finalità del trattamento e non ha fornito adeguata informativa. Inoltre, non ha dato riscontro alla richiesta di esercizio dei diritti dell'interessata del 15 febbraio 2023. Il Garante ordina il divieto di ulteriori operazioni di trattamento connesse all'utilizzo della carta e applica una sanzione amministrativa pecuniaria di € 34.000 per gravità media delle violazioni, con pagamento entro 30 giorni. AI

Istituto Comprensivo Statale Montelibretti

Il Garante accerta la violazione del Regolamento UE 2016/679 (articoli 5, 6, 9) e del Codice Privacy per la pubblicazione sul sito istituzionale di una circolare recante le iniziali del nome e cognome di un minore, il riferimento a documentazione medica e alla classe di appartenenza, in assenza di idonee misure di anonimizzazione. Quantunque l'Istituto abbia rimosso la circolare e la violazione sia dovuta a errata interpretazione della disciplina, la diffusione di categorie particolari di dati di un soggetto minorenne costituisce violazione di gravità media. Viene inflitta sanzione di € 4.000,00 considerando le circostanze attenuanti (ridotte dimensioni dell'ente, periodo limitato di diffusione, assenza di precedenti, impegni assunti per il rafforzamento delle misure organizzative interne, cooperazione). AI

Azienda Sanitaria Locale di Matera

L'Azienda Sanitaria Locale di Matera è stata vittima di un attacco informatico ad opera del gruppo Rhysida, che ha comportato l'esfiltrazione di dati personali di 95.362 interessati. La violazione ha interessato dati anagrafici, di contatto, relativi a condanne penali e reati, documenti di identificazione, ubicazione, origine razziale o etnica e dati sulla salute. Il Garante accerta violazione degli articoli 5 par. 1 lett. f) (integrità e riservatezza) e 32 (sicurezza del trattamento) del Regolamento per l'inadeguatezza delle misure tecniche e organizzative nel rilevare tempestivamente le violazioni e garantire la sicurezza dei sistemi. Irrogata sanzione amministrativa pecuniaria di € 8.600,00 con pubblicazione sul sito web del Garante. AI

Consiglio Nazionale dei Periti Industriali e dei Periti Industriali Laureati

Il Garante accerta che il CNPI ha effettuato un trattamento di dati personali non conforme al principio di liceità mediante l'attivazione di un sistema di inoltro automatico dei messaggi di posta elettronica dall'indirizzo personale di un ex Consigliere alla casella collettiva dell'Ente. Tale condotta ha violato gli artt. 5, 6, 12, 13 e 14 del GDPR. Per le violazioni accertate il Garante applica una sanzione amministrativa pecuniaria di € 3.000,00 AI

Ministero della Giustizia

Il Garante dichiara illecito il trattamento dei dati personali effettuato dal Ministero della Giustizia attraverso la comunicazione, mediante affissione nella bacheca della Casa Circondariale Cosenza "Sergio Cosmai" (accessibile a tutto il personale in servizio) e trasmissione alle organizzazioni sindacali, di un ordine di servizio contenente informazioni sulla salute di un dipendente (riferimenti alle "condizioni fisiche", alle "esigenze di salute" e all'"alternanza della postura"), in violazione degli articoli 5, paragrafo 1, lettera a), 6 e 9 del GDPR e dell'articolo 2-ter del Codice Privacy. Il trattamento è avvenuto in assenza di una idonea base giuridica e senza rispetto dei principi di liceità, correttezza e trasparenza. Il Garante ingiunge il pagamento di una sanzione amministrativa pecuniaria di € 12.000,00. AI

Azienda USL Modena

L'Azienda USL Modena è stata sanzionata per violazione degli artt. 5, par. 1, lett. f) e 32 del Regolamento GDPR a seguito di attacco ransomware che ha comportato l'esfiltrazione di dati personali, inclusi dati sanitari. Le carenze riscontrate riguardano l'assenza di misure adeguate di rilevazione tempestiva dell'incidente, l'assenza di autenticazione a più fattori per l'accesso VPN e l'insufficienza del sistema SIEM. La sanzione è stata determinata a €10.000 considerando sia la gravità della violazione che i fattori attenuanti quali la tempestiva notifica e la collaborazione fornita. AI

Azienda USL di Modena

Il Garante accerta violazioni dell'art. 5 par. 1 lett. d) GDPR per mancato rispetto del principio di esattezza dei dati (scheda anagrafica di prova fittizia modificata con alcuni dati della reclamante, a fianco della scheda correttamente riferita a lei) e dell'art. 12 in relazione all'art. 15 GDPR per tardiva risposta alle istanze di accesso. Irrogata sanzione di 3.500 euro complessivi e disposta la pubblicazione del provvedimento sul sito. AI

Istituto Ancelle della Compagnia della Regina dei Gigli

Il Garante sanziona l'Istituto scolastico per aver pubblicato immagini di minori su sito web e social media senza idoneo presupposto di liceità, violando artt. 5, 6 e 7 GDPR. L'Istituto ha rimosso i contenuti e comunicato di aver implementato procedure correttive. La sanzione è determinata considerando le ridotte dimensioni dell'ente scolastico, l'assenza di precedenti violazioni pertinenti e la cooperazione con l'Autorità. AI

Comune di Mazara del Vallo

Il Garante accerta la violazione della disciplina sulla base giuridica del trattamento per la pubblicazione online dell'elenco beneficiari della Carta Dedicata a Te contenente codici fiscali e dati personali. Il Comune è condannato al pagamento di una sanzione di 6.000 euro, mitigata dalla buona fede, dalla tempestiva rimozione dei dati e dall'assenza di danni comprovati agli interessati. AI

Io e te s.r.l.s.

Il Garante ha accertato l'illiceità del trattamento dati effettuato tramite videosorveglianza in assenza di informativa agli interessati e senza autorizzazione dell'Ispettorato del Lavoro. È stata irrogata una sanzione di 2.000 euro considerando la breve durata (3 mesi), l'assenza di precedenti violazioni e la pronta rimozione dell'impianto. AI

Framos Italia s.r.l. in liquidazione

Il Garante ha accertato violazioni degli artt. 5, par. 1, lett. a), c), e), 6, 12, 13, 17 e 29 GDPR da parte di Framos Italia s.r.l. in liquidazione per mancato tempestivo riscontro a istanza di cancellazione degli account di un ex dipendente e trattamenti non conformi. È stata irrogata sanzione di 5.000 euro con prescrizioni di adeguamento entro 60 giorni. AI

The European House - Ambrosetti S.p.A.

The European House - Ambrosetti S.p.A. ha notificato una violazione dei dati personali conseguente ad accesso non autorizzato che ha riguardato i dati anagrafici, di contatto e le credenziali di autenticazione di 61.670 interessati. L'Autorità ha accertato violazioni dei principi generali del trattamento e dell'obbligo di adottare misure tecniche e organizzative adeguate, nonché la tardiva comunicazione della violazione agli interessati, effettuata solo a seguito di un provvedimento correttivo del Garante, quando la stessa era suscettibile di presentare un rischio elevato per i loro diritti e libertà. La Società non aveva implementato adeguate misure di sicurezza per il trattamento delle credenziali, che erano conservate in chiaro o con tecniche crittografiche non allo stato dell'arte, per oltre due anni. AI

Associazione Movimento Cinque Stelle Sicilia

Il Garante dichiara illecito il trattamento effettuato dall'Associazione Movimento Cinque Stelle Sicilia per violazione degli articoli 12, 13, 5, 24 e 25 del Regolamento (UE) 2016/679, dovuta all'assenza di una privacy policy nel sito internet, all'inidoneità dei canali comunicativi per esercitare i diritti degli interessati e all'inadeguatezza delle misure tecniche e organizzative. Pur apprezzando le misure correttive adottate dal titolare, compresa la rimozione dell'articolo lamentato e l'elaborazione di un'informativa privacy, il Garante commina una sanzione di € 5.000,00 e ingiunge l'adozione di misure adeguate per facilitare l'esercizio dei diritti previsti dalla normativa sulla protezione dei dati personali. AI

Carlo Maria Antonio Parisi

Il Garante dichiara illecito il trattamento dei dati personali effettuato da Carlo Maria Antonio Parisi in qualità di titolare del sito "giornalistitalia.it" per le violazioni relative all'assenza di una privacy policy adeguata durante un periodo di tempo prolungato, al mancato riscontro tempestivo all'istanza di esercizio dei diritti dell'interessato (deindicizzazione e cancellazione) presentata il 17 aprile 2023, e all'omessa adozione di misure tecniche e organizzative adeguate. Pur rilevando l'avvenuta rimozione dell'articolo lamentato e l'adozione di misure correttive successive all'intervento dell'Autorità, il Garante commina una sanzione amministrativa di € 2.500,00 considerando la gravità della condotta, le finalità di cronaca e informazione, l'assenza di precedenti procedimenti e la capacità economica del titolare. Viene inoltre disposta la pubblicazione del provvedimento sul sito del Garante e l'ingiunzione di adottare misure tecniche e organizzative adeguate per facilitare l'esercizio dei diritti degli interessati. AI

Titolare del trattamento identificato presso XX (XX)

Il Garante ha sanzionato il titolare di un esercizio commerciale per violazione degli artt. 5, par. 1, lett. a) (principio di trasparenza) e 13 del Regolamento (GDPR) in relazione alla mancanza di idonei cartelli informativi presso un impianto di videosorveglianza costituito da 25 telecamere. Sebbene le immagini fossero visualizzate su maxi-schermo visibile agli avventori all'interno dell'esercizio, tale modalità non soddisfa i requisiti di informativa preventiva e idonea cartellonistica previsti dalla normativa sulla protezione dei dati. Il Garante ha ordinato il pagamento di € 3.000,00 e la conformazione del trattamento entro 30 giorni mediante installazione di idonea cartellonistica informativi. AI

Pak Store - impresa individuale con sede in Cuneo

Il Garante dichiara illecito il trattamento di dati personali effettuato mediante impianto di videosorveglianza presso un esercizio commerciale, per violazione del principio di trasparenza (assenza di cartelli informativi) e del principio di liceità (mancanza di autorizzazione dell'Ispettorato del Lavoro). Iroga sanzione di euro 2.000,00 e ingiunge conformazione del trattamento entro trenta giorni mediante apposita cartellonistica e limitazione del trattamento sino all'ottenimento dell'autorizzazione prevista dall'art. 4, comma 1, della legge n. 300/1970. AI

Comune di Campo Calabro

Il Garante dichiara l'illiceità del trattamento effettuato dal Comune di Campo Calabro per violazione degli artt. 5, par. 1, lett. a) e c) e 6 del Regolamento nonché dell'art. 2-ter del Codice. Il Comune ha pubblicato sull'Albo pretorio online una Determinazione contenente dati personali identificativi di undici lavoratori (posizione, nominativo e punteggio) relativi alla selezione per differenziale stipendiale, senza applicare il principio di minimizzazione dei dati. Il Garante ordina il pagamento di una sanzione amministrativa pecuniaria di € 6.000,00 e dispone la pubblicazione dell'ordinanza sul sito web del Garante. Il Comune ha tempestivamente oscurato i dati personali e ha assunto iniziative organizzative di conformità e formazione. AI