MARZO 2026
Il Garante sanziona eCampus, stop al riconoscimento facciale nella formazione online.
Trattati in modo illecito i dati biometrici dei partecipanti ai corsi di abilitazione all’insegnamento
Il Garante privacy con provvedimento del 29.01.2026 ha sanzionato per 50mila euro l’Università eCampus per aver trattato in modo illecito i dati biometrici di numerosi partecipanti ai corsi online di abilitazione all’insegnamento.
L’Ateneo utilizzava un sistema di riconoscimento facciale per verificare l’identità e la presenza dei partecipanti alle lezioni. Dalle verifiche l’Autorità ha rilevato la mancanza di una base giuridica idonea a giustificare l’uso di sistemi biometrici, per i quali sono previste garanzie rafforzate dalla disciplina di protezione dei dati, vista anche la disponibilità di strumenti alternativi e meno invasivi per la verifica della presenza ai corsi. È emerso, inoltre, che l’Ateneo non aveva svolto una valutazione di impatto sulla protezione dei dati prima dell’attivazione del sistema di riconoscimento facciale.MARZ
Le violazioni hanno interessato un numero molto elevato di partecipanti, oltre 450 corsisti per ogni lezione.
Nel corso dell’istruttoria, il sistema ha continuato ad essere utilizzato solo parzialmente con alcuni correttivi, comunque non ritenuti sufficienti a superare le criticità rilevate, fino alla sua disattivazione definitiva. Nel determinare l’importo della sanzione, il Garante ha comunque tenuto conto della collaborazione prestata dall’Università e dell’interruzione volontaria del trattamento.
Garante privacy al comune di Pescara: no alle body cam della Polizia localeParere negativo del 4 dicembre 2026 del Garante privacy alla valutazione di impatto sulla protezione dei dati personali presentata dal comune di Pescara relativa alle body cam da fornire agli agenti di polizia locale nell’ambito delle attività ausiliarie di pubblica sicurezza e di polizia giudiziaria. Numerose le criticità riscontrate nel sistema nonostante le indicazioni fornite dall’Autorità nel corso di più interlocuzioni.
Per quanto riguarda la sicurezza delle soluzioni tecnologiche scelte, il Garante ha accertato che le modifiche inserite nell’ultima valutazione di impatto non forniscono risposta alle richieste di approfondimento tecnico formulate dall’Ufficio. In particolare, posto che il sistema informatico per la gestione dei dati elaborati dalle body cam è fornito da un’azienda statunitense, il comune non ha chiarito se tale scelta abbia tenuto conto di altre soluzioni presenti nel mercato e degli aspetti di protezione dei dati connessi a un trattamento ad elevato rischio come quello effettuato attraverso le body cam.
Il Garante inoltre ha riscontrato l’assenza di misure di sicurezza in grado di escludere che il fornitore del servizio possa accedere in chiaro ai dati trattati dal Comune. Accesso che comporterebbe un trasferimento dei dati verso paesi terzi, in violazione della Direttiva Ue 2016/680 e della normativa privacy.
Il trasferimento di dati personali per scopi di law enforcement, competenza non attribuibile alla società statunitense, è infatti regolato da norme specifiche che impongono rigorose garanzie per trasferimenti transfrontalieri, inclusi accordi vincolanti e un livello adeguato di protezione dei dati nel paese terzo.
Tra le altre criticità anche la presenza di una sim all’interno della body cam su cui non sono stati forniti chiarimenti.
Dal Garante ok alle Linee guida Agid sull’accessibilità dei servizi
Maggiori tutele per le persone con disabilità
Parere favorevole (29 gennaio 2026) del Garante per la protezione dei dati personali sullo schema di decreto dell’AGID, che definisce le Linee guida sull’accessibilità dei servizi pubblici e privati (ad es., trasporto passeggeri, internet, sistemi di pagamento). L’obiettivo è offrire servizi e informazioni fruibili anche dalle persone con disabilità, senza discriminazioni.
Nel prescrivere gli obblighi del fornitore di servizi, lo schema tiene conto delle indicazioni fornite dall’ufficio del Garante, volte ad assicurarne la conformità alla normativa privacy.
Sulla base dei principi di privacy by design e privacy by default del Gdpr, i fornitori di servizi dedicati a persone con disabilità, avranno l’obbligo di adottare misure idonee a evitare la tracciatura degli strumenti, delle soluzioni e delle impostazioni d’uso che li aiutano ad accedere ai servizi digitali. Dovranno inoltre dichiarare espressamente di non ricorrere a tecniche web di tracciamento dalle quali sia possibile desumere eventuali condizioni di disabilità dell’utente.
AGID, cui spetta la vigilanza, dovrà poi individuare e adottare misure appropriate e specifiche volte a proteggere i dati degli interessati anche nell’implementazione e gestione della piattaforma che metterà a disposizione per lo svolgimento delle attività di competenza.
Nel dare il via libera, il Garante ha ribadito che, in base al principio di accountability, resta ferma la responsabilità in capo ai fornitori sia pubblici che privati, quali titolari del trattamento, di conformare i propri servizi alla disciplina in materia di protezione dei dati personali.
Garanti europei, le sfide per una piena attuazione del diritto alla cancellazione
Pubblicato il rapporto del Comitato europeo per la protezione dei dati (EDPB) in materia di diritto alla cancellazione (art. 17 del GDPR). Il documento nasce dal lavoro svolto nel 2025 da 32 autorità di protezione dati, tra cui il Garante italiano, nell’ambito del Coordinated Enforcement Framework (CEF), su uno dei diritti più esercitati e più spesso oggetto di reclami.
Obiettivo dell’azione: garantire che il diritto alla cancellazione sia effettivamente esercitato dai cittadini europei e valutare in che modo i titolari del trattamento rispettano tale diritto nella pratica.
Al termine, l’EDPB ha individuato le buone pratiche e le sfide più importanti in materia, con l’obiettivo di fornire ulteriori orientamenti sul tema.
Sono stati 764 i titolari del trattamento, fra piccole, medie e grandi imprese in tutta Europa, coinvolti nel CEF 2025; nove Autorità di protezione dati hanno avviato, o continuato, una istruttoria, mentre le altre 23, tra cui il Garante, hanno condotto un’indagine conoscitiva.
La mancanza di procedure interne adeguate per gestire le richieste e di informazioni sufficienti fornite agli interessati sono state le principali risultanze emerse dal rapporto. Le Autorità hanno riscontrato anche il ricorso a tecniche di anonimizzazione inefficienti come alternative alla cancellazione, difficoltà dei titolari nel determinare il periodo di conservazione dei dati e la loro cancellazione nel contesto dei backup e, visto che il diritto alla cancellazione non è un diritto assoluto, nell’effettuare i test di bilanciamento con altri diritti.
Report e caso Sangiuliano: i motivi
dell’annullamento della sanzione del Garante
Con la sentenza n. R.G. 54031/2025 il Tribunale di Roma ha annullato il provvedimento sanzionatorio adottato dal Garante per la protezione dei dati personali nei confronti della RAI, in relazione alla messa in onda, nell’ambito della trasmissione Report, del servizio di inchiesta riguardante l’allora Ministro della Cultura Gennaro Sangiuliano. La decisione ha ritenuto legittima la diffusione dei contenuti informativi in applicazione del principio di essenzialità dell’informazione e ha ribadito la perentorietà dei termini di conclusione del procedimento sanzionatorio con conseguente decadenza della potestà punitiva dell’Autorità.
