SETTEMBRE 2026
La timbratura da remoto con geolocalizzazione può essere lecita, ma conta come funziona concretamente il sistema.
Il Tribunale di Cosenza, con la sentenza n. 972 del 1° luglio 2026, annulla la sanzione da cinquantamila euro inflitta dal Garante per la Privacy a una pubblica amministrazione per l’utilizzo di un’app di rilevazione delle presenze nel lavoro agile (provvedimento n. 135/2025).
Secondo il giudice, quando la posizione del dipendente viene acquisita esclusivamente nel momento della timbratura, senza consentire un monitoraggio continuo degli spostamenti, il sistema può essere qualificato come strumento di registrazione degli accessi e delle presenze, ai sensi dell’articolo 4, comma 2, dello Statuto dei Lavoratori.
La valutazione, quindi, non dipende dal nome attribuito alla tecnologia, ma
- dalle sue effettive modalità di funzionamento
- dalle finalità perseguite
- dalle garanzie adottate, comprese un’adeguata informativa e, nel caso esaminato, il consenso del lavoratore.
La ripubblicazione di dati sportivi di minori: il Garante Privacy fissa i confini tra divulgazione amatoriale e conformità al GDPR
La progressiva digitalizzazione della società ha determinato una crescita esponenziale della disponibilità di informazioni personali reperibili attraverso Internet, rendendo sempre più labile il confine tra dati pubblicamente accessibili e dati liberamente riutilizzabili. Se, infatti, la pubblicazione di un’informazione su un sito istituzionale o su una pagina web aperta al pubblico può apparire, ad una prima lettura, idonea a legittimarne qualsiasi successivo utilizzo, il regolamento (UE) n. 2016/679 (GDPR) impone una prospettiva radicalmente diversa. La circostanza che un dato personale sia conoscibile da una pluralità di soggetti non determina infatti il venir meno della tutela accordata dall’ordinamento europeo, né consente automaticamente ulteriori operazioni di raccolta, aggregazione, indicizzazione, diffusione o riutilizzo per finalità differenti rispetto a quelle originarie. Con il provvedimento dell’11 giugno 2026, n. 435, il Garante per la protezione dei dati personali affronta il tema della ripubblicazione online di dati identificativi riferiti anche a soggetti minorenni ed offre l’occasione per chiarire i confini dell’acquisizione di un consenso legittimo e per ribadire che la sola circostanza per cui dati personali di terzi soggetti sono liberamente reperibili su internet, non autorizza sic et simpliciter alla ripubblicazione dei medesimidati su altre piattaforme.
Garante a Enel Energia: il cliente può avere accesso all’audio delle conversazioni.
La richiesta di accesso ai dati personali contenuti in registrazioni audio o video può essere soddisfatta anche mediante la consegna della trascrizione della conversazione, purché siano oscurati gli elementi che consentono di identificare eventuali altri soggetti coinvolti.
Lo ha affermato il Garante privacy a conclusione di un procedimento nei confronti di Enel Energia Spa che aveva negato ad un cliente la richiesta di accesso ai propri dati personali.Il procedimento trae origine da un reclamo in cui l’utente lamentava il diniego, da parte della società, di accedere alle informazioni contenute in una registrazione telefonica intercorsa con il servizio clienti. Nel corso dell’istruttoria è emerso che Enel Energia aveva respinto la richiesta ritenendo prevalente, nel bilanciamento tra gli interessi contrapposti, lमsigenza di tutelare la privacy dell’operatore. Secondo la società, durante la conversazione, l’operatore aveva fornito dettagli che avrebbero potuto consentirne l’identificazione, come il nome e la matricola. Al riguardo il Garante ha ricordato che tale valutazione implica una analisi da effettuare caso per caso, in base agli effettivi rischi per i diritti e le libertà del terzo coinvolto. Il tutto, valutando la possibilità di adottare misure per mitigare l’eventuale pregiudizio, ad esempio mediante l’oscuramento dei dati personali dell’operatore o l’applicazione di tecniche di camuffamento della voce.
Nel caso di specie, l’autorità ha rilevato che Enel avrebbe potuto soddisfare la richiesta di accesso, oscurando preventivamente i dati identificativi dell’operatore. Tale soluzione, considerati il contesto professionale della telefonata e il suo oggetto, relativo al contratto di fornitura di gas, non avrebbe pregiudicato il diritto dell’operatore alla riservatezza.
Dal Garante privacy sanzione di 460mila a Piaggio & C. S.p.a.
Raccolta sistematica delle email dei dipende
Il Garante per la protezione dei dati personali ha irrogato a Piaggio & C. Spa una sanzione di 460 mila euro, per violazioni della normativa sulla privacy relative alla gestione delle caselle di posta elettronica aziendale, alla conservazione dei dati e alle attività di controllo dei dipendenti.
Dall’istruttoria, avviata a seguito dei reclami di due ex dipendenti, è emerso che la società aveva effettuato accessi alle loro email aziendali, nel corso del rapporto di lavoro, acquisendo in totale 112 email, al fine di verificare la fondatezza di presunti comportamenti illeciti.
In alcuni casi le email acquisite risalivano addirittura a circa due anni prima che la società maturasse tale sospetto.
Un monitoraggio reso possibile dalla sistematica raccolta e conservazione dei dati relativi alla posta elettronica, effettuate da Piaggio mediante backup per tutta la durata del rapporto di lavoro e fino a 5 anni dopo la cessazione, nonché dei relativi log, per un periodo di 6 mesi, in violazione dei principi del Gdpr e in assenza delle garanzie previste dallo Statuto dei lavoratori.
I trattamenti messi in atto dalla società, infatti, si sono rivelati idonei a ricostruire l’attività dei dipendenti e ad effettuare un controllo a distanza.
L’autorità ha inoltre rilevato criticità nella conservazione dei dati, giudicando eccessivi i tempi di mantenimento delle email aziendali e dei log di accesso, nonché carenze nelle informazioni fornite ai dipendenti sulle finalità e sulle basi giuridiche del trattamento. A Piaggio è stata anche contestata la mancata risposta alle richieste di esercizio dei diritti degli ex dipendenti relative alla conferma della disattivazione degli account.
Nel dichiarare illecito il trattamento dei dati personali relativi alla posta elettronica aziendale, il Garante ha vietato a Piaggio l’accesso ai dati raccolti e conservati sui propri sistemi e ha irrogato una sanzione amministrativa.
Data breach, il Garante sanziona la Città Metropolitana di Sassari
12mila euro per errata configurazione del protocollo informatico.Il Garante privacy, a seguito di una notifica di data breach e di un reclamo, ha sanzionato la Città Metropolitana di Sassari per aver configurato erroneamente il proprio protocollo informatico, rendendo accessibili documenti contenenti dati personali a soggetti che, in ragione del ruolo ricoperto e delle mansioni svolte, non erano autorizzati a trattarli. La Città Metropolitana ha agito così violando i principi di protezione dei dati sanciti dal GDPR, in particolare di integrità e riservatezza, responsabilizzazione e protezione dei dati fin dalla progettazione e per impostazione predefinita. Richiamando proprie precedenti decisioni, lपutorità ha ribadito che anche nellपmbito dei trattamenti di dati personali effettuati mediante i sistemi di gestione documentale è necessario adottare misure tecniche e organizzative idonee ad assicurare l’accesso selettivo alla documentazione presente nel protocollo informatico, per evitare la consultabilità di documenti da parte di personale non autorizzato. In particolare, in merito alla protocollazione di documenti contenenti dati personali dei dipendenti e inerenti allo specifico rapporto di lavoro, è necessario ricorrere a procedure differenziate e riservate. Rilevato l’illecito, il Garante ha quantificato la sanzione in 12mila euro, tenendo conto, tra lपltro, del fatto che lपutorità, fin dal 2007, ha fornito ai datori di lavoro pubblici e privati indicazioni sul corretto trattamento dei dati nellपmbito della gestione del rapporto di lavoro, che la violazione ha riguardato tutti i dati personali transitati sul protocollo informatico e che il trattamento ha avuto ad oggetto anche dati delicati rilevanti ai fini disciplinari.
