ARRIVA LA RELAZIONE ANNUALE ATTIVITA’ 2025 DEL GARANTE
Sanzioni per 37 milioni di euro, 4.288 reclami, quasi 146 mila segnalazioni su marketing selvaggio e reti telematiche, cyberbullismo e revenge porn. 65 pareri e altrettante comunicazioni di reato molte delle quali per violazione in materia di controllo a distanza dei lavoratori, 130 ispezioni e 506 provvedimenti correttivi e sanzionatori: sono alcuni dei numeri che leggiamo nel rapporto annuale 2025 del Garante privacy. Come ogni anno l’Authority, che ha passato un anno difficile per lo scandalo delle spese eccessive dell’ente, ha presentato a Palazzo Montecitorio il 2 luglio il rapporto annuale fornendo un quadro degli ambiti di intervento e dei quesiti che la tecnologia IA sempre più avanzata sottopone. Il documento affronta infatti i temi dell’Intelligenza artificiale relazionale, dell’IA nelle scuole e dei deep fake, vale a dire filmati, foto e documenti creati con la macchina che ritraggono persone insieme e situazioni assolutamente false, ma che sembrano veri documenti agli occhi della maggior parte del pubblico. I deep fake possono configurare violazioni della privacy anche intima. Si parla anche di telemarketing, dati sanitari e dei meccanismi di verifica dell’età delle persone che accedono ai social e a servizi sul web. Ma la parte più cogente per aziende pubbliche e private e fondazioni, onlus o cooperative certamente resta il tema del controllo sui lavoratori tramite videosorveglianza, dispositivi che catturano dati biometrici e simili, che come sappiamo sono vietati dallo Statuto dei lavoratori e per quel che riguarda la biometria c’è anche una carenza di norme. L’Autorità ha rilevato che in piccole imprese ed esercizi commerciali ci sono rischi reali di un uso improprio dei sistemi di videosorveglianza ai danni degli stessi lavoratori che sono impiegati in loco. Il Garante perciò ha rivolto un invito alla vigilanza al presidente di Confcommercio–Imprese per l’Italia, affinché non ci siano dispositivi che fanno un monitoraggio costante e da remoto dei locali durante l’orario di apertura, quindi dispositivi non giustificabili con l’esigenza di tutela del patrimonio aziendale.
ATTACCO AL CONSIGLIO D’EUROPA
Il Consiglio d’Europa è stato pesantemente attaccato da un gruppo di pirati informatici che hanno rivendicato l’impresa. Secondo una prima analisi, i pirati sarebbero riusciti a sfruttare una vulnerabilità della piattaforma Oracle PeopleSoft che viene usata per la gestione delle risorse umane. Il furto riguarda 15 anni di attività dell’ente internazionale, mail, dati personali, dati bancari, stipendi e dati sanitari dei dipendenti, circa 300 gigabyte di dati. Un furto di notevoli dimensioni. Il gruppo di chiama SkinyHunters, è attivo dal 2019 e fa attacchi a scopo di estorsione sfruttando cloud, voicepishing e tecniche di social ingeneering, vale a dire dragano la rete anche dei social acquisendo informazioni sui dipendenti e vertici di aziende e organizzazioni internazionali per sferrare l’attacco informatico al momento opportuno. Tra gli attacchi più famosi Microsoft, Bonobos (7 milioni di utenti), Commissione europea, Google e la Carnival (6 milioni di dati).
FOTO DI MINORI DI 14 ANNI SUI SOCIAL SOLO CON CONSENSO GENITORI
Il Garante italiano ha ribadito a proposito della pubblicazione su un social della foto di un minore di 14 anni che il consenso solo della madre non è sufficiente. Serve infatti il consenso di entrambi i genitori. Dopo i 14 anni il minore può pubblicare autonomamente la propria foto: questo è quanto stabilito dalle norme italiane. Nel caso specifico il padre ha accusato la madre di sharenting e di costruire un’identità specifica per la minorenne e metterla a rischio di sfruttamento e di abusi. Anche le impostazioni sulla condivisione con terzi non basta a giustificare la pubblicazione delle immagini di minori di 14 anni.
MULTA DI 180 MILA EURO ALLA COMPAGNIA AEREA EMIRATES
La compagnia aerea Emirates è stata sanzionata con 180 mila euro in seguito alla segnalazione di una passeggera che usufruiva dei servizi per persone con modalità ridotta. Secondo le indagini fatte dal Garante, la compagnia conservava i dati oltre misura, invece di cancellarli alla fine del servizio erogato. La passeggera ha lamentato il fatto che la compagnia chiedeva troppi dati particolari in specifico sullo stato di salute della persona da assistere, ma anche dei suoi accompagnatori e che le informative sulla raccolta e trattamento dei dati non erano esaustive. In particolare la compagnia chiedeva la compilazione di un modulo online, di stampo internazionale, ma senza che fosse linkata un’informativa esaustiva. Il Garante nell’indagine ha sentito anche Enac, l’ente che regolamenta i voli e le compagnie aeree, desumendo che è legittima la raccolta dei dati, ma la compagnia era carente appunto nella trasparenza delle informative specie sulle basi giuridiche e finalità del trattamento e la data retention era eccessiva.
TELECAMERE CITTADINE SOLO PER CRIMINALITA’ DIFFUSA
Il Garante ha sottolineato che le telecamere ad ampio raggio con registrazione continua, piazzate in molti comuni e dalle amministrazioni pubbliche nelle pubbliche vie possono essere utilizzate solo per contrastare fenomeni di criminalità diffusa e predatoria, non per ricostruire, ad esempio, incidenti stradali. Il Garante ha perciò ammonito il Comune di Reggio Calabria che ha erogato una multa in base al codice stradale a una cittadina per non aver dato la precedenza a un pedone. Quindi il Comune ha utilizzato proprio le immagini delle telecamere per ricostruire un incidente stradale, contravvenendo alle regole nazionali. Insomma ha utilizzato i filmati per altre finalità. Il filmato sarebbe anche stato trasmesso dalla polizia stradale al Ministero delle infrastrutture e trasporti. Il Garante ha ribadito che mancano specifiche norme nazionali che disciplinino il settore e quindi la finalità può essere solo quella di contrasto della criminalità. Inoltre ci sono stati anche degli errori di procedura, perché la persona ferita una volta medicata aveva una prognosi di soli 10 giorni e quindi sotto i 20 giorni, termine per la procedibilità prevista dalla legge ai fini di una possibile responsabilità penale.
LEPIDA NON TRATTA CORRETTAMENTE DATI UTENTI SPID
Anche i meccanismi di accesso allo Spid, la verifica dell’identità digitale, un unicum in Europa tutto italiano, è finito nel mirino del Garante privacy. Lepida, una delle aziende fornitrici dello Spid, ha ricevuto una multa di 100 mila euro per non aver minimizzato i dati, conservato i dati per il tempo necessario alla finalità fissata, integrità e riservatezza dei dati. Morale è emerso che 7 mila dipendenti avevano accesso a dati personali tra cui le tessere sanitarie di 1 milione e mezzo di utenti e senza che venisse tenuta traccia dell’accesso o della necessità di accedere a tali dati. Tra le criticità i log degli accessi degli utenti devono essere conservati al massimo per 24 mesi, mentre in molti casi la data retention era superiore.
Il Notiziario, coperto da copyright e creato senza il ricorso all’Intelligenza artificiale, è stato realizzato dall’Avv. Gianluca Amarù, l’Avv. Eleonora Maschio, il Dpo Marco Fossi consulente aziendale e Alessandra Fava giornalista e Dpo, riuniti nell’acronimo A2F Privacy&Compliance. Amarù, Fava e Fossi hanno pubblicato Manuale di accoglienza enti e autorità (Liberodiscrivere, 2019) , Howto – Come scrivere i documenti privacy (Liberodiscrivere 2020), Privacy in progress (editore FrancoAngeli, giugno 2021) e La Privacy dei dati digitali (FrancoAngeli editore, 2023), La Privacy del dato sanitario (FrancoAngeli, 2024), a firma di Amarù, Fava, Fossi e del DPO Ferdinando Mainardi. Nel 2025 è uscito per Mondadori l’instant book Smetti di farti spiare, a cura del presidente di Federprivacy Nicola Bernardi, con Amarù, Fava, Fossi. Infine Amarù, Fava, Fossi, Maschio hanno pubblicato NIS2: come rafforzare la cybersicurezza (FrancoAngeli, 2025).
