OTTOBRE 2026
La Cassazione rafforza i poteri del Garante privacy
Tre sentenze che riducono notevolmente i ricorsi indebiti.
Tre sentenze della Cassazione di recente pubblicazione (nn. 22791, 24861 e 24862/ 2026) rafforzano i poteri dell’Autorità italiana Garante della privacy, chiarendone tempi e margini di intervento nell’adozione dei provvedimenti correttivi e sanzionatori. Tali sentenze ridurranno notevolmente i margini di ricorso ai provvedimenti del Garante stesso. La Cassazione, infatti, chiarisce e consolida i margini temporali entro cui il Garante può esercitare i propri poteri correttivi e sanzionatori, senza introdurre nuove regole ma precisando la portata della disciplina vigente.
Con questa precisazione della Corte il dibattito sulla reale portata applicativa di quel termine può dirsi chiuso: il sistema delineato dal Codice della privacy per l’attività del Garante non è, come qualcuno aveva sostenuto, privo di termini interni; ne ha uno, e ha la stessa funzione — cristallizzare rapidamente l’addebito nei confronti del trasgressore — che l’art. 14 della legge n. 689/1981 assegna alla contestazione nel modello generale delle sanzioni amministrative.
Per quanto riguarda i reclami, la Corte ha ribadito che il procedimento di reclamo e l’eventuale successivo procedimento correttivo e sanzionatorio sono distinti e autonomi. Di conseguenza, il superamento del termine previsto per pronunciarsi sulla “fondatezza” del reclamo presentato dall’interessato – entro nove mesi, prorogabili fino a dodici mesi – non determina la decadenza del potere sanzionatorio del Garante.
Riguardo al termine di 120 giorni, viene chiarito che non si tratta del termine per adottare il provvedimento sanzionatorio finale, ma quello entro cui il Garante deve notificare la contestazione delle violazioni. Il conteggio non parte dalla prima notizia della possibile violazione o dalle prime informazioni ricevute: i 120 giorni decorrono dal momento in cui la violazione può considerarsi definitivamente accertata. Prima del definitivo accertamento, l’Autorità può raccogliere documenti, approfondire i fatti e instaurare il contraddittorio con il soggetto interessato. Questa fase non è sottoposta a un termine perentorio predeterminato, ma deve essere condotta senza ritardi ingiustificati e secondo criteri di ragionevolezza e congruità rispetto alla complessità del caso, restando sindacabile in sede giudiziale.
Una volta notificata la contestazione entro 120 giorni dal definitivo accertamento della violazione, non è previsto un ulteriore termine di decadenza per l’adozione del provvedimento finale. Resta la prescrizione di cinque anni dalla commissione della violazione.
Privacy, sanzionato Banco Bilbao Italia per 5,5 milioni di euro
La banca inviava comunicazioni promozionali nell’app nonostante i “no” del cliente
Maxi-multa da oltre 5,5 milioni di euro per Banco Bilbao Vizcaya Argentaria Italia (BBVA). Il Garante per la privacy ha sanzionato l’istituto dopo il reclamo di un cliente che, pur avendo manifestato la propria opposizione alla ricezione delle comunicazioni commerciali tramite l’app e poi ribadito il proprio “no” al Servizio clienti, ha continuato a ricevere messaggi promozionali.
Un caso che, secondo l’Autorità, evidenzia una falla nei processi di gestione dei dati.
Un errore tecnico che ha impedito, secondo la banca, il corretto allineamento tra i sistemi aziendali e la piattaforma incaricata di governare le comunicazioni commerciali alla clientela. Di conseguenza, il cliente ha continuato a ricevere comunicazioni commerciali non richieste per sette mesi, da ottobre 2025 a maggio 2026.
Un malfunzionamento per il Garante non sufficiente a escludere la responsabilità della banca.
L’istruttoria ha inoltre evidenziato ulteriori criticità: la banca non avrebbe fornito al cliente un riscontro corretto nell’esercizio dei suoi diritti, arrivando anche a comunicare informazioni errate sul funzionamento dei trattamenti interni.
La decisione del Garante (n. 613 del 3.9.2026) mette in evidenza un principio di portata più ampia: non è sufficiente che il “no” del cliente venga registrato da un sistema se poi l’organizzazione non è in grado di garantirne l’effettiva applicazione. Il rispetto delle norme sulla privacy, dunque, non può fermarsi alla singola app o al singolo database. I diversi sistemi aziendali devono poter dialogare correttamente e le procedure devono garantire che la scelta del cliente venga rispettata lungo tutte le fasi del trattamento dei dati.
Oltre alla sanzione di oltre 5 milioni e mezzo di euro, il Garante ha prescritto a Banco Bilbao Italia di adottare adeguate misure tecniche e organizzative volte a facilitare l’esercizio dei diritti degli interessati e a garantire una corretta e tempestiva gestione delle loro richieste.
Garante privacy, azienda sanitaria di Udine sanzionata per 24mila euro
Il Garante privacy ha inflitto una sanzione di 24mila euro all’Azienda sanitaria universitaria Friuli centrale (ASUFC) di Udine per non aver configurato il dossier sanitario aziendale in modo tale da impedire al personale di visionare lo stato di salute dei colleghi per finalità diverse da quelle di cura. Con provvedimento (n. 616 del 3 settembre 2026) l’Autorità– intervenuta a seguito del reclamo di una dipendente, che era al contempo paziente dell’ospedale – ha accertato che una collega del reparto dove lavorava, aveva avuto liberamente accesso al suo dossier sanitario per verificare, durante la pandemia, l’eventuale positività al Covid-19 e pianificare i turni.
Secondo l’azienda sanitaria la pratica si era resa necessaria per sapere su quali risorse umane poter contare e per garantire la tutela degli operatori e dei pazienti ricoverati.
Nel provvedimento il Garante ha ribadito come l’accesso al dossier sanitario sia consentito solo ai medici e al personale che ha in cura un paziente, e non per esigenze organizzative e amministrative, specie se l’ospedale è sia il datore di lavoro che l’autorità sanitaria che lo ha in carico.
Le finalità amministrative e organizzative devono essere infatti perseguite utilizzando strumenti a ciò dedicati e non il dossier sanitario, che nasce per aiutare il professionista ad inquadrare lo stato di salute del paziente nel suo percorso medico. L’uso del dossier per finalità amministrative costituisce peraltro una modalità inefficiente in quanto per sua natura incompleto, avendo l’interessato la possibilità di oscurare i dati sanitari che magari sono indispensabili proprio per la finalità organizzativa perseguita.
Nel corso dell’istruttoria il Garante privacy ha inoltre accertato che il dossier della reclamante era stato oggetto anche di altri accessi abusivi da parte di professionisti sanitari che non l’avevano in cura. Entrambi gli illeciti erano stati possibili perché la configurazione del dossier sanitario aziendale non prevedeva specifici limiti all’accesso, né sistemi di alert automatici finalizzati a segnalare eventuali possibili condotte illecite dei dipendenti.
Oltre alla sanzione pecuniaria, l’Autorità ha ordinato all’azienda ospedaliera di adottare misure tecniche ed organizzative idonee a garantire la tutela dei dati dei pazienti e dei dipendenti. In particolare, l’adozione di sistemi di controllo degli accessi e di rilevamento delle anomalie.
Telecamere negli spogliatoi di una piscina, Garante sanziona ASIS Trento
Negli spogliatoi la tutela della privacy deve essere massima. L’utilizzo di sistemi di videosorveglianza non è ammesso in ambienti e spazi in cui possono essere lesi la dignità, l’intimità e i diritti delle persone.
Lo ha ribadito il Garante per la protezione dei dati personali, comminando una sanzione di 8mila euro nei confronti dell’Azienda Speciale per la Gestione degli Impianti Sportivi del Comune di Trento (ASIS), con il provvedimento n. 619 approvato dal Collegio dell’Autorità il 3 settembre 2026.
L’Autorità ha avviato gli accertamenti a seguito di alcune segnalazioni e notizie di stampa relative alla presenza di telecamere negli spogliatoi della piscina del Centro sportivo Trento Nord, a Gardolo. Le telecamere, installate a partire dal 2007, riprendevano l’area degli armadietti utilizzati dagli utenti per custodire i propri effetti personali. ASIS aveva attivato il sistema per prevenire e accertare furti di portafogli e telefoni verificatisi nella struttura. Sebbene le riprese non comprendessero le cabine per il cambio degli abiti, le docce e i servizi igienici, il Garante ha rilevato che interessavano comunque un luogo caratterizzato da un’elevata aspettativa di riservatezza. Il trattamento dei dati è, pertanto, risultato privo di una base giuridica adeguata e non conforme ai principi di liceità, correttezza e trasparenza. Sono emerse anche carenze nelle informative fornite agli utenti sull’attivazione del sistema di videosorveglianza. Inoltre, anche l’informativa specifica destinata ai lavoratori interessati dalle riprese è stata fornita soltanto dopo l’avvio dell’istruttoria. L’Autorità ha contestato anche la conservazione delle immagini per 72 ore, non supportata da una specifica valutazione che ne dimostrasse la necessità.
Nel corso del procedimento ASIS ha disattivato e rimosso le telecamere dagli spogliatoi, aggiornato la cartellonistica e le informative relative al complessivo sistema di videosorveglianza e ridotto i tempi di conservazione delle immagini.
Nel determinare l’importo contenuto della sanzione, il Garante ha tenuto conto della collaborazione dell’Azienda e dell’assenza di precedenti violazioni.
Graduatorie sul web: no ai dati degli iscritti nelle liste dei centri per l’impiego.
Sanzionata l’Agenzia Regionale per il lavoro dell’Emilia Romagna per 30mila euro
Nel rispetto delle disposizioni in materia di trasparenza amministrativa, le amministrazioni e gli altri soggetti obbligati sono tenuti a pubblicare online le graduatorie finali recanti i dati personali dei soli partecipanti risultati vincitori della procedura concorsuale.
È quanto ha ribadito il Garante con provvedimento (n. 550 del 23 luglio 2026) intervenendo a seguito di un reclamo. Pertanto, l’Agenzia Regionale per il lavoro dell’Emilia-Romagna è stata sanzionata al pagamento di 30mila euro per la pubblicazione online dei nominativi contenuti in una graduatoria riferita agli iscritti ai centri per l’impiego.
A questi veniva riconosciuto il diritto all’avviamento a selezione nell’ambito di una procedura per l’assunzione di un operatore addetto all’accoglienza presso un’azienda ospedaliera.
In assenza di una specifica base giuridica, l’Autorità ha precisato che la normativa che prescrive la pubblicazione delle sole “graduatorie finali”, si riferisce, esclusivamente alle procedure concorsuali scaturite da “bandi di concorso per il reclutamento” e non anche a quelle effettuate “mediante avviamento degli iscritti nelle liste di collocamento”, considerato che la sola partecipazione a tale procedura può determinare l’eventuale associazione degli interessati a una condizione di disabilità o comunque rivelare informazioni personali riguardanti aspetti economici o sociali delicati, che potrebbero determinare effetti pregiudizievoli per gli stessi, compromettendone la dignità.
In questo caso l’Agenzia Regionale avrebbe potuto ricorrere a forme di anonimizzazione del dato personale, in modo da rendere conoscibile al solo interessato la propria posizione in graduatoria, evitando la pubblicazione di dati personali online, particolarmente invasiva poiché consente a chiunque, mediante i motori di ricerca esterni, di reperire un insieme consistente di informazioni personali disponibili in rete.
Nel definire la sanzione in 30mila euro il Garante ha tenuto conto del considerevole numero di interessati coinvolti (circa 700 persone) e del protrarsi dell’illecito per un notevole lasso di tempo, ma anche della buona fede e dell’atteggiamento collaborativo dell’Agenzia, che ha rimosso dal sito e deindicizzato le informazioni personali in questione, nonché dell’assenza di precedenti violazioni pertinenti.
