Tutti i provvedimenti monitorati

Istituto Nazionale di Ricerca Metrologica (INRiM)

Il Garante esprime parere su richiesta di accesso civico a documenti relativi a procedura di selezione per componente CDA. Nega l'accesso ai nominativi dei candidati non eletti per protezione dati personali, ma invita l'amministrazione a concedere accesso parziale ai documenti previo oscuramento di tali nominativi, poiché limiti non riguardano l'intera documentazione. AI

R.T.I. - Reti Televisive Italiane S.p.A.

Il Garante ammonisce R.T.I. per aver creato e diffuso deepfake del giornalista Enrico Mentana nei video del programma Striscia la Notizia, alterandone l'immagine e la voce senza disclaimer sufficientemente chiari, violando i principi di liceità, correttezza e trasparenza. È stato inoltre disposto il divieto di ulteriore trattamento dei dati del ricorrente con le medesime modalità, salvo conservazione per usi giudiziari. AI

Comune di Chivasso

Il Garante accerta la violazione dell'art. 13 GDPR da parte del Comune di Chivasso per incompletezza delle informazioni rese ai dipendenti sui tempi di conservazione dei metadati di posta elettronica. Emana un ammonimento anziché sanzione pecuniaria, considerando la natura colposa della violazione, le dimensioni ridotte dell'ente, la cooperazione offerta e la tempestiva correzione adottata. AI

Istituto Omnicomprensivo Scuola Europea di Brindisi

L'Istituto ha inviato una comunicazione relativa alle elezioni RSU con gli indirizzi email personali dei destinatari in chiaro anziché in copia nascosta, causando la reciproca conoscenza dei dati personali. Pur riconoscendo la violazione dovuta a errore umano, il Garante ha ammonito l'Istituto senza irrogare sanzione pecuniaria, considerato il carattere episodico della violazione e le misure correttive adottate. AI

ReLife Recycling s.r.l.

ReLife Recycling s.r.l. non ha riscontrato la richiesta di accesso ai dati personali del ricorrente entro un mese dal ricevimento, né lo ha informato dei motivi dell'inottemperanza, violando gli artt. 12, par. 3 e 4 del GDPR. Il Garante ha qualificato la violazione come minore e ha disposto un ammonimento anziché una sanzione pecuniaria. AI

RTI S.p.a.

Il Garante accerta la violazione della disciplina sulla protezione dei dati personali e sulla dignità della vittima per la diffusione di immagini del cadavere di Chiara Poggi in servizi giornalistici televisivi. Dispone il divieto di ulteriore diffusione delle immagini delle macchie di sangue, del corpo della vittima e della ferita, ritenute eccedenti rispetto all'essenzialità dell'informazione. AI

UGL Terziario

Il Garante ha rilevato l'illiceità del trattamento dati effettuato da UGL Terziario, relativo all'accesso all'account di posta elettronica individualizzato assegnato al ricorrente dopo la sua dimissione da dirigente sindacale e il mancato riscontro adeguato all'istanza di accesso ai dati. La violazione riguarda l'assenza di idonea informativa e il diniego non correttamente motivato del diritto di accesso. L'Autorità ha qualificato l'infrazione come violazione minore e ha emesso un ammonimento al sindacato. AI

SanitaService Asl Le s.r.l. Unipersonale

Il Garante ha accertato la violazione degli artt. 5, par. 1, lett. a), 6 e 9, par. 2, lett. b), del Regolamento (UE) 2016/679, nonché dell'art. 2-ter del Codice della privacy, da parte di SanitaService Asl Le s.r.l. Unipersonale per aver consentito l'affissione in bacheca aziendale di un'email contenente dati personali relativi allo stato di salute di due dipendenti (assenze per motivi di salute), in assenza di base giuridica e non conforme al principio di liceità, correttezza e trasparenza. L'email è rimasta affissa per un periodo compreso tra una settimana e circa un mese. Il coordinatore che ha affisso il documento ha agito di propria iniziativa, non conforme alle procedure aziendali. La condotta è stata qualificata come violazione minore. AI

Comune di Piacenza

Il Garante dichiara l'illiceità del trattamento dei dati personali (nomi e condizioni di revisione valutativa) di due dipendenti comunali notificati in unico verbale senza oscuramento, violando i principi di liceità e trasparenza. Nonostante il carattere colposo dell'errore e l'assenza di una base giuridica, il Garante ammonisce il Comune per la violazione, ritenendo sussistente una violazione minore. AI

Agenzia Italiana del Farmaco (AIFA)

Il Garante dichiara l'illiceità del trattamento dei dati personali effettuato dall'AIFA per violazione dell'art. 12, parr. 3 e 4, del Regolamento (UE) 2016/679, non avendo fornito riscontro all'istanza di accesso ai dati personali presentata dall'interessato nei termini previsti. L'AIFA ha risposto solo a seguito dell'invito formulato dall'Autorità. Il Garante ammonisce l'AIFA per la violazione, qualificata come violazione minore. Dispone la pubblicazione del provvedimento sul sito internet dell'Autorità e l'annotazione delle violazioni nel registro interno. AI

Geox S.p.A.

Reclamo presentato da una cittadina francese alla CNIL relativo alla ricezione di sei messaggi promozionali via SMS da parte di Geox S.p.A., nonostante l'esercizio ripetuto del diritto di opposizione. Il Garante, quale autorità capofila per trattamento transfrontaliero, ha chiuso il procedimento senza misure correttive in quanto la mancata cancellazione era stata causata da errore tecnico del sistema di gestione della blacklist e successiva mancata comunicazione del provider francese, il dato era stato già cancellato prima dell'intervento del Garante, la criticità era isolata, senza precedenti analoghi, e il danno effettivo risultava modesto. AI

Persona fisica

Il Garante dichiara illecita la condotta del titolare del trattamento consistita nella pubblicazione di dati personali di soggetti minorenni (nome, cognome, data di nascita) su un sito internet dedicato a ranking e competizioni sportive, in assenza di idonea base giuridica, del principio di minimizzazione, di informativa privacy e di criteri certi di conservazione. Prende atto della rimozione integrale dei dati e della sospensione del sito, e rivolge ammonimento al titolare rimandolo al rispetto dei principi di liceità, correttezza e minimizzazione nei futuri trattamenti, con particolare richiamo all'acquisizione del consenso specifico degli interessati e dei genitori per i minori. AI

Enel Energia S.p.A.

Il Garante dichiara illecito il trattamento effettuato da Enel Energia S.p.A. per la violazione degli artt. 12 e 15 del Regolamento (UE) 2016/679, conseguente al diniego ingiustificato dell'accesso ai dati personali contenuti in una registrazione telefonica richiesto dall'interessato. Il Garante ingiunge alla Società di soddisfare entro trenta giorni la richiesta di accesso fornendo copia della registrazione telefonica con misure di oscuramento dei dati identificativi dell'operatore del servizio clienti, ovvero mediante trascrizione debitamente anonimizzata. AI

Google LLC

Il Garante dichiara infondato il reclamo nei confronti del Corriere del Giorno in ordine alla richiesta di cancellazione o deindicizzazione dell'articolo pubblicato il 19 novembre 2020, considerando legittima la conservazione nell'archivio della testata. Dichiara invece fondato il reclamo nei confronti di Google LLC, ordinando la rimozione dell'URL quale risultato di ricerca associato al nome e cognome della ricorrente entro venti giorni, valutando il carattere obsoleto dell'articolo e il ruolo marginale della ricorrente rispetto alla vicenda giudiziaria. Dichiara non luogo a provvedere per il secondo URL. AI

Consorzio Italia

Il Garante rileva l'illiceità del trattamento effettuato da Consorzio Italia per violazione degli artt. 12 e 15 del GDPR e dell'art. 157 del Codice della privacy. Il Consorzio, in qualità di titolare del trattamento, non ha fornito riscontro alla richiesta di accesso ex art. 15 GDPR presentata dalla reclamante in data 13 luglio 2022, né ha risposto alla successiva richiesta di informazioni inviata dall'Autorità ai sensi dell'art. 157 del Codice. Il Garante ammonisce il Consorzio per aver effettuato trattamenti in violazione degli artt. 12 e 15 del GDPR e per aver violato l'art. 157 del Codice. AI

Università degli studi di Bari Aldo Moro

Il Garante accerta la violazione dei principi di liceità, correttezza, trasparenza e minimizzazione dei dati (art. 5, par. 1, lett. a) e c) GDPR) da parte dell'Università degli studi di Bari Aldo Moro. L'Università ha trasmesso al soggetto controinteressato, nell'ambito di una richiesta di accesso civico generalizzato, l'integrale istanza del ricorrente contenente dati eccedenti e non necessari quali il numero di telefono e l'indirizzo di residenza. Il Garante qualifica la violazione come minore e dispone l'ammonimento del titolare del trattamento, ritenendo insufficienti le giustificazioni addotte basate sulla presunta autorizzazione incondizionata del ricorrente. AI

Università degli Studi di Genova

L'Università ha comunicato dati personali relativi a condanne penali e reati di un ricorrente alla CADA in una memoria difensiva, dichiarando di voler evidenziare la non attendibilità della persona. Il Garante ha ritenuto tale comunicazione esorbitante rispetto all'esigenza di difesa nel procedimento e priva di necessità, in quanto le informazioni non avevano attinenza diretta con i fatti oggetto del ricorso. L'Ateneo è stato ammonito per violazione dei principi di liceità, correttezza e trasparenza e per carenza di base giuridica. AI

Myndoor S.r.l.

Il Garante avverte Myndoor S.r.l. in merito al rischio che la trasmissione di report aggregati contenenti dati analizzati mediante il sistema plug-in Myndoor agli enti e alle imprese che eventualmente li richiedano possa verosimilmente determinare una violazione della normativa sulla protezione dei dati personali e della dignità della persona che lavora. Il Garante dispone che la Società assicuri l'adozione di misure per prevenire qualsiasi forma di messa a disposizione dei dati degli utenti del plug-in in favore dei datori di lavoro, al fine di evitare che gli stessi vengano a conoscenza delle informazioni trattate mediante il sistema. AI

Comune di Reggio Calabria

Il Garante dichiara l'illiceità del trattamento dei dati personali effettuato dal Comune di Reggio Calabria mediante trasmissione di filmati di videosorveglianza all'Ufficio Motorizzazione Civile per procedimenti amministrativi relativi a violazioni del codice della strada, in violazione dei principi di liceità, correttezza e trasparenza e in assenza di base giuridica. Pur riconoscendo la violazione carattere colposo e la complessità giuridica della questione, il Garante ammonisce il Comune. AI

Sig.ra XX

Il Garante ha dichiarato illecito il trattamento consistente nella pubblicazione su social network di immagini raffiguranti minori infraquattordicenni, effettuata dalla madre senza il consenso dell'altro genitore esercente la responsabilità genitoriale. Ha disposto il divieto di ulteriore trattamento delle immagini con riguardo alla loro pubblicazione su social network e ha ammonito la destinataria sulla necessità di acquisire il previo consenso dell'altro genitore per simili pubblicazioni. AI

Presidenza del Consiglio dei ministri – Dipartimento della Protezione Civile

Il Garante accerta la violazione degli artt. 5, par. 1, lett. b) e c), e 12, parr. 3 e 4, del Regolamento (UE) 2016/679 commessa dalla Presidenza del Consiglio dei ministri – Dipartimento della Protezione Civile. Il Dipartimento ha pubblicato online per un periodo eccessivo un elenco contenente dati personali comuni (nome, cognome e macroarea) di soggetti tra cui la ricorrente, in violazione dei principi di limitazione della finalità e minimizzazione. Inoltre, ha omesso di fornire tempestivo riscontro all'istanza di esercizio dei diritti presentata dalla ricorrente. Qualificata come violazione minore, è stato irrogato ammonimento. AI

Comune di Trieste

Il Garante esprime parere favorevole alla decisione del Comune di Trieste di accogliere parzialmente l'istanza di accesso civico generalizzato relativa a documenti su sversamenti di liquami fognari, omettendo i nominativi e gli indirizzi di residenza dei proprietari destinatari delle comunicazioni di avvio procedimento. L'omissione è giustificata dal principio di minimizzazione dei dati e dalla tutela della protezione dei dati personali, in quanto la conoscenza generalizzata di tali informazioni personali non è necessaria al raggiungimento dello scopo dell'accesso civico e determina un'interferenza ingiustificata nei diritti dei soggetti controinteressati. AI

Sodexo Italia Spa

Il Garante ha accertato l'illiceità del trattamento di dati personali effettuato da Sodexo Italia Spa, responsabile del servizio di ristorazione scolastica nel Comune di Marzabotto, a causa dell'invio erroneo via e-mail a 109 utenti di un documento contenente dati sensibili (nomi, cognomi, codici fiscali, pagamenti, figli e pasti consumati) di 50 famiglie in stato di insolvenza. La violazione è stata imputata alla scarsa padronanza operativa dell'addetta e alla carenza di adeguate misure di sicurezza, quali corsi formativi e istruzioni specifiche, nonostante il sistema tecnico disponesse di controlli preventivi. AI

Attitude S.r.l.

Il Garante accerta la violazione degli artt. 12 e 15 GDPR per il mancato riscontro a un'istanza di esercizio del diritto di accesso e rivolge un ammonimento ad Attitude S.r.l. Vengono archiviate le altre contestazioni relative agli artt. 5, 6, 7 GDPR e art. 130 Codice Privacy. Il titolare aveva adottato misure correttive in corso di procedimento, inclusa l'attivazione di una casella di posta dedicata alle richieste di diritti degli interessati. AI

Ministero dell'Interno - Dipartimento della Pubblica Sicurezza - Polizia di Stato

Il Garante dichiara illecito il trattamento di dati personali (assenze per malattia) effettuato dalla Polizia di Stato in relazione a procedimenti disciplinari, per violazione dei principi di liceità, correttezza e trasparenza, nonché per tardivo riscontro alle richieste di esercizio dei diritti degli interessati. Il Ministero è ammonito per le violazioni riscontrate. AI

Fondazione Corriere del Giorno

Il Garante dichiara infondato il reclamo presentato da un individuo che chiedeva la rimozione e deindicizzazione di articoli pubblicati dal quotidiano online Il Corriere del Giorno riguardanti vicende giudiziarie risalenti a sette anni prima. Il Garante ritiene che gli articoli, sebbene risalenti nel tempo, riguardano fatti di particolare rilevanza pubblica con perdurante attualità stante i recenti sviluppi giudiziari, e sono legittimamente conservati nell'archivio on-line dell'editore per finalità di archiviazione storico-documentaristica. AI

Responsabile della prevenzione della corruzione e della trasparenza del Comune di XX

Il Garante analizza una richiesta di accesso civico riguardante documenti relativi alla verifica delle condizioni di eleggibilità e compatibilità degli amministratori comunali, nonché informazioni su debiti verso l'Ente e procedure di incompatibilità. Il Comune ha negato l'accesso in base alla protezione dei dati personali. Il Garante ritiene che le dichiarazioni sostitutive di inconferibilità e l'attestazione del Responsabile Finanziario possano essere rese accessibili con oscuramento dei dati eccedenti, mentre la documentazione relativa a dilazioni, pagamenti e dettagli tributari realizza un'interferenza sproporzionata. Tuttavia, le informazioni riguardanti le date esatte dei pagamenti, l'esistenza di rateizzazioni non mantenute e le regolarizzazioni, qualora rilevanti per la verifica delle condizioni di eleggibilità e compatibilità, non possono essere negate sulla base della protezione dei dati personali di titolari di incarichi politici. AI

Ministero delle infrastrutture e dei trasporti - Direzione generale per la motorizzazione

Il Garante esprime parere favorevole condizionato sullo schema di decreto che disciplina il Registro elettronico delle Agenzie Telematiche (ReAT), imponendo specifiche condizioni per garantire conformità ai principi di protezione dei dati. Le criticità riguardano la minimizzazione dei dati acquisiti, la definizione delle basi giuridiche, i termini di conservazione e le misure di sicurezza. Il Garante richiede inoltre una valutazione d'impatto in ossequio al principio di responsabilizzazione. AI

Comune di Messina

Il Garante rileva l'illiceità del trattamento di dati personali effettuato dal Comune di Messina, titolare, che ha omesso di stipulare un accordo ex art. 28 GDPR con l'Azienda Speciale Messina Social City, responsabile del trattamento dei dati degli assistiti ai servizi socio-assistenziali. La violazione riguarda anche la pubblicazione non autorizzata di foto di minori su Facebook. Il Garante ingiunge al Comune di verificare la cancellazione dei post non conformi e di comunicare le misure adottate entro 30 giorni. AI

Contrader s.r.l.

Il Garante accerta l'illiceità del trattamento operato da Contrader s.r.l. per il mancato riscontro entro i termini di legge all'istanza di cancellazione dati (art. 17 GDPR) presentata dal ricorrente in tre distinte occasioni. La Società ha violato gli obblighi di risposta tempestiva previsti dall'art. 12, par. 3, del Regolamento, utilizzando la genericità della richiesta come giustificazione inaccettabile, quando invece avrebbe dovuto richiedere ulteriori informazioni per identificare l'interessato ai sensi dell'art. 12, par. 6. Nel corso del procedimento la Società ha comunque provveduto ad aderire all'istanza dell'interessato. AI

Dipartimento della Pubblica Sicurezza - Direzione Centrale della Polizia Criminale - Servizio Sistemi Informativi

Il Garante dichiara illecito il trattamento dei dati personali dell'interessato effettuato nel CED Interforze per violazione del principio di limitazione della conservazione e dell'obbligo di cancellazione. I dati sono stati conservati oltre i termini di legge fino a novembre 2025, nonostante la richiesta di cancellazione risalente al 2021. Il Garante ammonisce il Dipartimento per la violazione accertata e annota le violazioni nel registro interno. AI

Compass Banca S.p.A.

Il Garante ha accertato violazioni degli articoli 5 par. 1 lett. c), 24 par. 1 del GDPR e dell'articolo 130 comma 2 del Codice Privacy per l'invio di una comunicazione promozionale indesiderata a seguito di conservazione inadeguata di liste di contatto non aggiornate nel repository del provider di mailing. Tuttavia, qualificando il caso come violazione minore e considerando le misure correttive già implementate dalla Società, il Garante ha disposto un ammonimento senza irrogare sanzione pecuniaria. AI

Ministero della giustizia

Il Garante ordina al Ministero della giustizia di rendere immediatamente inaccessibili i dati personali dei sottoscrittori di proposte referendarie e di legge popolare scadute conservati sulla piattaforma digitale, proteggendoli mediante misure tecniche anti-accesso illecito. Il trattamento risulta privo di base giuridica in violazione del GDPR. Il Ministero deve comunicare entro tre mesi le misure adottate per conformarsi e specificare il numero degli interessati coinvolti. AI

Il Gazzettino S.p.A.

Il Garante ha accertato la violazione degli obblighi di risposta alle istanze di esercizio dei diritti degli interessati da parte della testata giornalistica Il Gazzettino. La ricusazione di rispondere all'istanza inviata via pec durante il periodo estivo, pur seguito da rimozione volontaria dell'articolo, configura violazione degli artt. 5, 12 e 24 GDPR. Il Garante ha rivolto un ammonimento al titolare, rimarcando l'obbligo di fornire riscontro adeguato e tempestivo alle richieste di esercizio dei diritti, indipendentemente dal canale utilizzato o da circostanze organizzative. AI

Nicolò Cristaldi

Il Garante accerta la violazione dei principi di liceità, correttezza e minimizzazione dei dati nella pubblicazione integrale di un atto giudiziario su Facebook. Nonostante il diritto di cronaca e l'interesse pubblico alla conoscenza dei fatti, la divulgazione completa della comunicazione dell'emissione di un decreto penale risulta eccedente rispetto alle necessarie finalità informative. Il Garante rivolge un ammonimento al titolare, richiamandolo al rispetto dei principi di essenzialità e limitazione dei contenuti diffusi. AI

Fix It s.r.l.s.

Il Garante accerta la violazione degli artt. 5, 6 GDPR e 130 Codice Privacy per invio di comunicazione commerciale senza base giuridica. Rivolge ammonimento alla società per l'illecito trattamento. Archivia la contestazione relativa agli artt. 12 e 15 GDPR per assenza di evidenze della mancata risposta alla richiesta di accesso, non riscontrata nei fascicoli istruttori. AI

Sagitter S.p.A.

Il Garante dichiara illecito il trattamento dei dati personali effettuato da Sagitter S.p.A. mediante comunicazione a terzi (familiari) della condizione di insolvenza del ricorrente, in violazione degli articoli 5 e 6 del GDPR. La comunicazione dell'8 aprile 2025 è stata ritenuta priva di idonea base giuridica, non potendo invocarsi il legittimo interesse in una fase stragiudiziale di recupero crediti. Il Garante ingiunge alla società di integrare le proprie procedure interne entro tre mesi per prevenire futuri casi analoghi. AI

Provvedimento sospeso o temporaneamente rimosso dal sito del Garante: efficacia sub judice, non trattarlo come un caso consolidato.

Il provvedimento n. 163 del 12 marzo 2026 è stato temporaneamente rimosso dal sito web del Garante ai sensi dell'art. 5 del D.lgs. n. 150/2011. È in corso un giudizio di opposizione avverso il provvedimento. AI

Associazione culturale I Siciliani Giovani

Il Garante accerta violazioni relative all'assenza di informativa privacy, mancato riscontro alle richieste di esercizio dei diritti e carenze nelle misure organizzative di un sito giornalistico online. Respinge la richiesta di deindicizzazione degli articoli come infondati in quanto pubblicati nel rispetto del diritto di cronaca. Ingiunge l'inserimento di privacy policy e l'adozione di misure tecniche per facilitare l'esercizio dei diritti degli interessati. AI

Parmaitaly-Shop S.r.l.

Il Garante accerta la violazione dell'art. 5 par. 1 lett. f) e dell'art. 32 GDPR per inadequate misure tecniche di sicurezza su un sito e-commerce, a causa del mancato aggiornamento tempestivo del CMS PrestaShop che ha esposto i dati di carte di credito di circa 221 clienti. Non vengono applicate sanzioni pecuniarie poiché la Società ha adottato misure correttive idonee a partire dal 7 marzo 2025, includendo aggiornamento del CMS e migrazione verso piattaforma Shopify. AI

Società per Azioni Esercizi Aeroportuali S.E.A.

Il Garante dichiara illecito il trattamento dei dati biometrici dei passeggeri effettuato mediante il sistema FaceBoarding presso l'aeroporto di Milano Linate per violazione di molteplici disposizioni GDPR, inclusi i principi di liceità, trasparenza e minimizzazione dei dati. La violazione riguarda la conservazione centralizzata dei template biometrici, l'assenza di idonea base giuridica per i passeggeri che non hanno aderito al sistema, e l'informativa inesatta fornita agli interessati. SEA ha cessato il trattamento il 16 settembre 2025 e cancellato i dati personali coinvolti. AI

Rai – Radio Televisione Italiana S.p.A.

Il Garante dichiara infondato il reclamo presentato da due titolari di attività ricettive che lamentavano il trattamento illecito dei propri dati personali in un servizio televisivo del programma «Mi manda Rai Tre» sulla pratica dei diplomifici. Pur riconoscendo l'utilizzo di uno stratagemma (il giornalista ha dichiarato di essere un genitore interessato), il Garante ritiene il trattamento legittimo in quanto effettuato nell'esercizio della libertà di manifestazione del pensiero, nel rispetto del principio di essenzialità dell'informazione relative a fatti di interesse pubblico, con adozione di misure idonee di oscuramento dei volti e alterazione delle voci tali da impedire il riconoscimento da parte della massa indistinta di persone. AI

Ministero dell'Interno

Il Garante ha accertato la violazione del principio di trasparenza e degli obblighi di comunicazione del Ministero dell'Interno per aver indicato nel portale della Carta d'Identità Elettronica un recapito non aggiornato del Responsabile della Protezione dei Dati, causando il tardivo riscontro alla richiesta di esercizio del diritto di cancellazione. Il Ministero è stato ammonito per le violazioni degli articoli 5, 12 e 13 GDPR e ha provveduto ad aggiornare l'informativa. AI

La Tabaccheria Magie di Fumo

Il Garante dichiara illecito il trattamento mediante videosorveglianza per violazione dei principi di trasparenza e informativa (artt. 5 e 13 GDPR). Pur qualificando la condotta come violazione minore senza sanzione pecuniaria, ammonisce la titolare e le ingiunge di collocare entro 30 giorni idonea cartellonistica informativa, considerando che la segnaletica era stata precedentemente rimossa da terzi. AI

Provvedimento sospeso o temporaneamente rimosso dal sito del Garante: efficacia sub judice, non trattarlo come un caso consolidato.

Il provvedimento n. 151 del 4 marzo 2026 è stato temporaneamente rimosso dal sito web del Garante in seguito all'ordinanza del Tribunale di Roma del 26 giugno 2026, che ha sospeso l'efficacia esecutiva dello stesso. Il giudizio di opposizione avverso il provvedimento rimane pendente. AI

non identificato

Provvedimento sospeso o temporaneamente rimosso dal sito del Garante: efficacia sub judice, non trattarlo come un caso consolidato.

Il provvedimento n. 152 del 4 marzo 2026 è stato temporaneamente rimosso dal sito web del Garante in seguito a due ordinanze del Tribunale di Roma (del 25 maggio 2026 e del 9 luglio 2026) che ne hanno sospeso l'efficacia esecutiva. Il giudizio di opposizione è pendente. AI

avvocato (XX)

Il Garante dichiara illecito il trattamento di dati personali effettuato da un avvocato che ha notificato atti giudiziari all'indirizzo PEC professionale del ricorrente senza idonea base giuridica, violando i principi di liceità e minimizzazione dei dati. Pur accertando la violazione degli artt. 5 e 6 GDPR, il Garante iroga un ammonimento anziché sanzione pecuniaria, considerando il numero limitato di destinatari, l'esaurimento della condotta e l'assenza di precedenti. AI

Formez PA

Il Garante rileva l'illiceità del trattamento effettuato da Formez PA per la pubblicazione online di dati personali (nome e cognome) di oltre trecento candidati ammessi alla prova scritta di un concorso pubblico del Ministero dell'economia e delle finanze, in violazione dell'art. 28 par. 3 del Regolamento GDPR. La diffusione è avvenuta in un'area accessibile a chiunque anziché tramite accesso selettivo riservato ai soli candidati con credenziali personali. Non sono adottate misure correttive poiché Formez PA ha già provveduto a rimuovere gli elenchi dal sito web e la piattaforma è stata dismessa. AI

Formez PA

Il Garante dichiara illecito il trattamento di dati personali effettuato da Formez PA quale responsabile esterno incaricato dal Ministero delle Imprese e del Made in Italy per la pubblicazione online della graduatoria di un concorso pubblico. La violazione consiste nella diffusione in area accessibile al pubblico di dati eccedenti rispetto alle finalità di trasparenza, inclusi codice fiscale, dettagli punteggi e informazioni su preferenze/precedenze. Sebbene la condotta abbia esaurito i suoi effetti e la graduatoria attualmente reperibile online contenga solo nome, cognome e punteggio totale, il Garante conferma l'illiceità del trattamento e dispone la pubblicazione del provvedimento e l'annotazione nel registro interno. AI

Sole 24 Ore S.p.A.

Il Garante accoglie il reclamo di una persona i cui articoli di archivio storico contenevano informazioni su una vicenda giudiziaria risoltasi con suo proscioglimento. Ordina a Sole 24 Ore di completare l'aggiornamento includendo la data della decisione favorevole della magistratura elvetica, sia nelle versioni digitali e preview sia nei pdf dell'archivio. Dispone ammonimento per violazione del diritto di rettifica e integrazione dati. AI

StarJoy Comunication & ADV. S.r.l.s.

Il Garante accerta la violazione della normativa privacy e sulle regole deontologiche nel trattamento di dati e immagini di una persona arrestata, pubblicate in un articolo di cronaca. Pur prendendo atto della rimozione dell'articolo da parte della società, dispone il divieto di ulteriore trattamento dell'immagine lesiva dei diritti, l'obbligo di comunicare le iniziative intraprese entro 30 giorni, e l'annotazione delle violazioni nel registro interno. AI

avvocato XX

Il Garante dichiara illecito il trattamento di dati giudiziari effettuato da un avvocato che ha comunicato al datore di lavoro della controparte informazioni sulla sua qualità di imputata in un procedimento penale, al fine di verificarne la capienza patrimoniale per una futura azione risarcitoria. La comunicazione viola i principi di liceità, correttezza e minimizzazione dei dati. L'avvocato viene ammonito. AI

S.M. Trattamento Acqua di XX

Il Garante dichiara illeciti i trattamenti di dati personali effettuati da S.M. Trattamento Acqua per finalità promozionali in assenza di base giuridica idonea, senza adeguato consenso e in violazione del diritto di accesso. Ingiunge al titolare di completare l'adozione di misure organizzative e tecniche per conformare le attività promozionali alla normativa vigente, inclusa la verifica dei partner commerciali e la corretta individuazione dei ruoli soggettivi. AI

Società Editrice Esculapio s.r.l.

Il Garante accerta la violazione degli artt. 6 e 13 GDPR e dell'art. 130 Codice Privacy da parte della casa editrice per aver inviato comunicazione commerciale all'indirizzo email istituzionale di un docente universitario senza consenso preventivo e fornendo informazione inesatta circa l'iscrizione a un database. Irrogato ammonimento senza sanzione pecuniaria né misure correttive, valutato il comportamento collaborativo della Società e l'assenza di pregiudizio per l'interessato. AI

Google LLC

Il Garante accoglie il reclamo dell'interessato e ordina a Google LLC la rimozione da risultati di ricerca di 28 URL contenenti informazioni relative a procedimenti penali archiviati, ritenendo che la permanenza online non rispondesse a interesse pubblico prevalente sul diritto all'oblio. Google aveva già rimosso spontaneamente alcuni URL; per i restanti, il Garante impone la deindicizzazione entro venti giorni. AI

Ministero del Lavoro e delle Politiche Sociali

Il Garante ha accertato violazioni dei principi di minimizzazione dei dati e di privacy by design nel trattamento delle comunicazioni obbligatorie a fini statistici. Il Ministero conservava dati identificativi in chiaro nel repository XML, comprese categorie protette ex lege 68, senza adeguate misure di pseudonimizzazione. Qualificata come violazione minore, è stata irrogata un'ammonizione con prescrizione di completare la pseudonimizzazione secondaria e implementare controlli automatizzati per le singolarità entro 120 giorni. AI

Azienda Ospedaliero Universitaria di Sassari

Il Garante dichiara illecito il trattamento di dati sanitari da parte dell'AOU di Sassari, che ha inserito erroneamente esami diagnostici di una paziente nella cartella clinica di un'altra paziente. L'Autorità qualifica la violazione come minore e ammonisce il titolare, ritenendo sufficienti le misure correttive già implementate e l'assenza di dolo. AI

Fondazione Centro sperimentale di cinematografia

Il Garante accerta l'illiceità della pubblicazione, sul sito istituzionale, di una delibera di licenziamento contenente i dati personali di un dipendente senza adeguata base giuridica. Nonostante la violazione accertata, non viene inflitta sanzione pecuniaria bensì ammonimento, considerando il carattere isolato del fatto, la successiva oscurazione dei dati, la colpevolezza non intenzionale e l'assenza di precedenti violazioni pertinenti. AI

Editrice del Mezzogiorno S.r.l.

Il Garante ha dichiarato infondato il reclamo relativo alla rimozione di un articolo di stampa su una condanna successivamente revocata e ha archiviato la contestazione sulla deindicizzazione e aggiornamento. Ha però ammonito l'editore per violazione degli obblighi di correttezza e trasparenza nei rapporti con gli interessati, in quanto non ha fornito alcun riscontro alle richieste preliminari ai sensi degli artt. 12, parr. 3 e 4 GDPR, indipendentemente dal merito della richiesta. AI

Amazon Italia Logistica s.r.l.

Il Garante ordina ad Amazon la limitazione definitiva del trattamento dei dati personali contenuti nelle note in campi liberi della piattaforma XX, che raccolgono informazioni su patologie, attività sindacali e vita personale dei lavoratori del magazzino di Passo Corese. Ordina inoltre la limitazione del trattamento effettuato mediante quattro telecamere posizionate in prossimità di bagni e aree riservate ai dipendenti. L'azienda deve verificare la liceità di anaoghi trattamenti in tutte le sedi che utilizzano la piattaforma XX entro sette giorni. AI

Azienda Sanitaria Locale Verbanio Cusio Ossola

L'ASL ha comunicato a un creditore procedente l'informazione che un dipendente, a seguito di mobilità, prestava servizio presso un'altra amministrazione, allo scopo di agevolare il recupero di debiti tributari del dipendente stesso. Il Garante ha ritenuto tale comunicazione illecita per mancanza di base giuridica e violazione dei principi di liceità, correttezza e trasparenza, emettendo un ammonimento. AI

non identificato nel testo disponibile

Provvedimento sospeso o temporaneamente rimosso dal sito del Garante: efficacia sub judice, non trattarlo come un caso consolidato.

Il provvedimento n. 72 del 12 febbraio 2026 è stato temporaneamente rimosso dal sito web del Garante ai sensi dell'art. 5 del D. Lgs. n. 150/2011. È pendente un giudizio di opposizione avverso il provvedimento. Il documento riguarda misure di sicurezza, persone defunte e enti locali in relazione a un'app. AI

Fersovere Srl

Il Garante accerta violazioni dell'art. 6 GDPR e dell'art. 130 Codice Privacy per invio di comunicazioni promozionali via email senza consenso, e violazioni degli artt. 12 e 15 GDPR per mancato o inadeguato riscontro alle richieste di accesso. In ragione della natura minore della violazione e delle misure correttive adottate dalla società, il Garante dispone ammonimento senza sanzione pecuniaria. AI

Avv. XX

L'Avv. XX, in rappresentanza di una società di recupero crediti, ha comunicato la cessazione di un debito inviando dati personali del debitore a un indirizzo PEC istituzionale non competente (Comando Stazione Carabinieri) anziché al CNA (Centro Nazionale Amministrativo Carabinieri), sede legalmente preposta. Tale comunicazione è stata effettuata in assenza di idonea base giuridica e senza aggiornamento dei dati di contatto. Il Garante ha accertato violazioni degli articoli 5 e 6 GDPR e ha irrogato un ammonimento. AI

Comune di Tires

Il Garante ha accertato che il Comune di Tires ha violato il principio di minimizzazione dei dati (art. 5, par. 1, lett. c, RGPD) pubblicando online il nominativo di un cittadino che aveva presentato opposizione a deliberazioni comunali. Pur riconoscendo la fattispecie come violazione minore e considerando che il Comune ha prontamente rimosso i dati, il Garante ha disposto un ammonimento anziché una sanzione pecuniaria. AI

Comune di Serravalle Sesia

Il Garante esamina una richiesta di accesso civico a documenti relativi all'affidamento diretto di un servizio comunale. Il Comune aveva rifiutato l'accesso alla documentazione attestante il possesso dei requisiti dell'operatore, invocando la presenza di dati personali sensibili e segreti commerciali. Il Garante invita il Comune a rivalutare la richiesta fornendo motivazione congrua e valutando la possibilità di concedere accesso parziale con oscuramento dei dati personali non necessari, pur confermando il possibile diniego per i dati giudiziari contenuti nel casellario. AI

Consiglio della Provincia autonoma di Trento

Il Garante esprime parere favorevole al diniego parziale dell'accesso civico opposto dal Consiglio della Provincia autonoma di Trento, confermando la legittimità dell'oscuramento di dati personali dei candidati non selezionati dal verbale della Commissione consiliare. L'Autorità riconosce che la trasmissione del verbale, previa selezione delle informazioni necessarie e proporzionate, consente di soddisfare le esigenze conoscitive del richiedente pur tutelando la protezione dei dati personali secondo i principi di limitazione della finalità e minimizzazione dei dati. AI

Federazione Nazionale degli Ordini delle Professioni Infermieristiche

Il Garante dichiara illecita la pubblicazione online dei dati personali dei candidati a concorso pubblico (nomi, cognomi, date di convocazione, elenchi ammessi/non ammessi) sul sito istituzionale della Federazione, con successiva indicizzazione sui motori di ricerca, per violazione degli artt. 5, 6 GDPR e art. 2-ter Codice Privacy. Sebbene la Federazione abbia tempestivamente rimosso i dati dal sito e ottenuto la deindicizzazione, la violazione è accertata in assenza di idoneo presupposto di liceità, indipendentemente dalla tempestività delle contromisure adottate. AI

L'Alba società cooperativa sociale

Il Garante ammonisce L'Alba società cooperativa sociale per non aver fornito tempestivo riscontro a un'istanza di accesso ai dati personali entro i termini di legge. La violazione riguarda il mancato rispetto del termine di un mese previsto dall'articolo 12, paragrafo 3 del GDPR, nonostante successivamente la cooperativa abbia comunque fornito le informazioni richieste. AI

Comune di Mirabella Eclano

Il Garante ammonisce il Comune di Mirabella Eclano per aver diffuso online dati personali (nominativo e codice fiscale) in delibere di giunta e verbali di conciliazione senza adottare misure di minimizzazione, e per aver risposto tardivamente a una richiesta di esercizio dei diritti oltre il termine di 30 giorni previsto dal RGPD. Il provvedimento tiene conto della natura colposa della violazione, delle ridotte dimensioni dell'ente e delle misure correttive già adottate. AI

Ministero della cultura - Responsabile della prevenzione della corruzione e della trasparenza

Il Garante esamina il rifiuto di accesso civico al curriculum di un professionista incaricato in una procedura di appalto. Rileva che l'amministrazione ha fornito motivazione generica senza dimostrare il pregiudizio concreto alla protezione dei dati personali. Invita a rivalutare la richiesta considerando un accesso civico parziale con oscuramento dei dati non necessari, tenendo conto del regime di trasparenza applicabile a figure analoghe. AI

avvocato XX

Il Garante accerta l'illiceità del trattamento di dati personali costituiti da file audio di intercettazioni telefoniche diffusi da un avvocato a fini di contestazione politica, in violazione dell'articolo 6 GDPR. L'interesse legittimo alla contestazione politica non prevale sulla tutela costituzionale delle comunicazioni telefoniche. L'Autorità ammonisce l'avvocato per la violazione accertata. AI

Istituto d'Istruzione superiore statale Enrico Fermi – Leonardo da Vinci

L'Istituto ha comunicato illegittimamente dati personali e dati relativi alla salute del figlio dei ricorrenti ai compagni di classe tramite email sull'invito al PEI e ha inviato a tutti i genitori della classe l'elenco degli alunni con date di nascita, in violazione dei principi di liceità e minimizzazione. Il Garante dichiara illecita la condotta e ammonisce l'Istituto, ritenendo la violazione minore vista la natura dell'errore materiale e le misure correttive adottate. AI

Verisure Italy s.r.l.

Il Garante accoglie l'istanza di proroga presentata da Verisure Italy s.r.l. e fissa al 9 marzo 2026 il nuovo termine entro cui la Società deve comunicare le iniziative intraprese per dare attuazione alle misure imposte con il provvedimento del 27 novembre 2025. La proroga di 30 giorni è concessa in considerazione della complessità degli interventi tecnici e organizzativi necessari per l'adeguamento. Il provvedimento principale aveva accertato violazioni in materia di marketing indesiderato, consenso, informativa e diritto all'oblio. AI

Ostilia S.r.l.

Il Garante ha accertato la violazione degli artt. 5 e 6 GDPR per l'invio via email in chiaro di una comunicazione su posizioni debitorie a 37 destinatari, con visibilità reciproca degli indirizzi e dati personali della ricorrente. La violazione è stata qualificata come minore a causa del carattere colposo (errore di digitazione), dell'evento isolato, della difficoltà gestionale della società e della sua sottoposizione a concordato preventivo, per cui è stato disposto ammonimento anziché sanzione pecuniaria. AI

Istituto Comprensivo Statale Alghero 2

Il Garante ha accertato la violazione degli artt. 5, 6 e 9 GDPR e dell'art. 2-ter del Codice Privacy per la divulgazione non autorizzata di dati sanitari di una docente a una collega mediante una nota di riscontro unificata a due reclami sindacali distinti. L'Istituto ha commesso un errore di valutazione in buona fede nel consolidare le risposte ai due reclami senza separare adeguatamente i dati personali e sensibili degli interessati. Il Garante ha qualificato la violazione come minore, considerando il carattere episodico e colposo della condotta, nonché le misure correttive successivamente adottate dall'Istituto. AI