NOVEBRE 2026
Garante: sanzione di 39mila euro a società di vigilanza di Bologna
Il Garante per la protezione dei dati personali ha inflitto una sanzione di 39mila euro a La Patria S.p.A. di Bologna, società di vigilanza e sicurezza tecnologica, per specifiche violazioni del Regolamento europeo (Gdpr) nel trattamento dei dati dei dipendenti (provvedimento n.585 del 6.8.2026).
L’Autorità si era attivata a seguito del reclamo di un ex lavoratore al quale la società aveva negato l’accesso, tra l’altro, ai dati raccolti tramite il sistema di localizzazione satellitare GPS installato sull’autovettura aziendale a lui assegnata. L’interessato aveva chiesto di visionare e ottenere copia di tale documentazione per difendersi in una contestazione disciplinare con l’azienda che lo aveva licenziato.
Nel provvedimento il Garante – ritenendo illecita la condotta della società, in quanto non aveva fornito idoneo riscontro all’istanza di esercizio del diritto di accesso ai dati – ha ribadito che il titolare del trattamento anche quando reputa di non poter dare seguito a istanze di esercizio dei diritti, deve comunque comunicare al richiedente i motivi del diniego, nonché l’esistenza del diritto di presentare ricorso all’autorità giudiziaria o reclamo al Garante privacy. Circostanza non verificatasi nel caso in specie.
L’Autorità ha inoltre accertato che la società di vigilanza non aveva adempiuto all’obbligo di informativa per quanto riguarda il trattamento dei dati effettuato tramite il GPS aziendale, nonostante gli stessi siano dati personali. Fra l’altro, anche nell’accordo stipulato con le rappresentanze sindacali ai sensi dell’articolo 4 dello Statuto dei Lavoratori era richiamato l’obbligo di informativa previsto dalla disciplina di protezione dei dati. I documenti informativi erano inoltre non corretti in quanto descrivevano operazioni di trattamento di dati particolari che la società in realtà non effettuava.
Nel determinare l’importo della sanzione, il Garante Privacy ha tenuto conto del fatto che La Patria S.p.A. nel corso dell’istruttoria ha adottato le misure correttive necessarie a conformare i trattamenti al Gdpr. In particolare, ha fornito un’idonea informativa in merito al trattamento dei dati di geolocalizzazione ai propri dipendenti e ha rimosso sempre nella stessa i riferimenti ai trattamenti dei dati particolari.
Più tutele per rider e lavoratori gestiti da piattaforme digitali
Le garanzie passano dalla protezione dati
Il Garante Privacy ha espresso parere favorevole, con rilievi, sullo schema di decreto legislativo che recepisce in Italia la direttiva europea 2024/2831 sul lavoro mediante piattaforme digitali, con particolare attenzione alla situazione dei rider. Nel complesso, l’Autorità considera lo schema coerente con la direttiva europea e con la normativa nazionale di delega, chiede tuttavia alcune modifiche e propone diversi correttivi (parere n. 624 del 17.09.2026). L’obiettivo è rafforzare le tutele dei lavoratori e rendere più trasparente l’utilizzo dell’intelligenza artificiale e dei sistemi automatizzati, evitando sovrapposizioni tra le diverse autorità di controllo.
L’Autorità richiama, in particolare, l’esigenza di coordinare le nuove disposizioni con il Regolamento europeo sulla protezione dei dati e di definire in modo chiaro l’attribuzione delle competenze tra il Garante e l’Ispettorato nazionale del lavoro.
Il rischio, evidenzia il Garante, è che alcune violazioni previste dal decreto – dalla valutazione d’impatto sulla protezione dei dati alla trasparenza degli algoritmi, dalla supervisione umana alle misure di sicurezza – si sovrappongano a obblighi già previsti dal Gdpr e sanzionati dall’Autorità per la privacy. Si potrebbe così creare un doppio binario sanzionatorio per la medesima condotta.
Per evitarlo, il Garante propone di introdurre una clausola di assorbimento, basata sui principi di specialità e proporzionalità, oppure una clausola che coordini i procedimenti sanzionatori tra Ispettorato e Garante. Ulteriori osservazioni riguardano la condivisione delle informazioni con le autorità pubbliche, per la quale viene richiesta una disciplina più puntuale che definisca con maggiore precisione finalità dell’accesso, categorie di dati utilizzabili, ruoli delle amministrazioni e limiti al riutilizzo delle informazioni.
Recupero crediti: online la versione aggiornata del vademecum del Garante
Online la nuova edizione del vademecum “Privacy e recupero crediti”, una guida pratica per orientare imprese specializzate nel recupero crediti, banche, finanziarie, società telefoniche o energetiche verso il pieno rispetto dei diritti fondamentali dei cittadini, prevenendo trattamenti illeciti o lesivi della dignità della persona. Il documento del Garante privacy ribadisce – in linea con quanto stabilito dal GDPR – l’esigenza di un bilanciamento tra il legittimo interesse del creditore a recuperare le somme che gli sono dovute e la tutela della riservatezza del debitore.
Ma vediamo più nel dettaglio i principali chiarimenti contenuti nel vademecum.
La base giuridica e i limiti di competenza del Garante
Il trattamento dei dati personali per finalità di recupero crediti è legittimo anche senza il consenso del debitore, poiché si fonda sul legittimo interesse del titolare. L’Autorità precisa, tuttavia, che il Garante non è competente sulle controversie relative alla sussistenza o all’ammontare del credito, per le quali i cittadini devono rivolgersi alle autorità di riferimento (esempio, Autorità giudiziaria ordinaria, Antitrust, Arera).
Le prassi illecite e lecite.
Gli accertamenti del Garante hanno evidenziato il persistere di comportamenti invasivi. A tal riguardo, l’Autorità ricorda che è vietato esercitare indebite pressioni o comunicare lo stato di inadempimento a soggetti terzi. Sono illecite le visite a domicilio o sul lavoro che espongano la condizione del debitore, le telefonate di sollecito preregistrate senza operatore (che rischiano di essere ascoltate da terzi), l’affissione di avvisi di mora sulla porta di casa o nell’androne condominiale, e l’invio di posta con scritte esterne visibili quali “recupero crediti”.
È invece consentito cercare il debitore (anche sul posto di lavoro), a patto di non fare alcun riferimento al debito. Le comunicazioni postali devono essere in plichi chiusi e prive di scritte riguardanti il recupero credito.
I dati che i soggetti incaricati possono trattare
I soggetti incaricati possono trattare i dati anagrafici, il codice fiscale, l’ammontare del credito e i recapiti forniti in sede contrattuale. Ma anche i dati acquisiti da database pubblici, registri o fonti terze autorizzate.
Accountability e obbligo di informativa.
I creditori hanno l’obbligo di effettuare controlli periodici sull’operato delle agenzie esterne e devono fornire al debitore una chiara e dettagliata informativa privacy.
Il vademecum completo è disponibile sul sito dell’Autorità.
Videosorveglianza, Garante privacy sanziona l’Istituto Nazionale di Ricerca Metrologica
Il Garante per la protezione dei dati personali ha comminato una sanzione di 10mila euro all’Istituto Nazionale di Ricerca Metrologica (INRIM) di Torino a seguito dei reclami di due dipendenti che lamentavano una violazione dei dati personali e dell’articolo 4 dello Statuto dei lavoratori in relazione all’impiego di un impianto di videosorveglianza (provvedimento n.620 del 3.9.2026). L’impianto era stato installato per motivi di sicurezza e doveva riprendere solo i muri e le recinzioni.
Nel corso dell’istruttoria è emerso che l’Istituto, dopo aver stipulato un accordo con le organizzazioni sindacali, aveva installato l’impianto in maniera non conforme alla planimetria condivisa. Nello specifico, l’ente aveva aumentato di otto unità il numero di telecamere previste, modificandone la collocazione e le relative aree di ripresa rispetto a quanto stabilito nell’accordo sindacale. L’INRIM aveva poi attivato – all’insaputa dei dipendenti, seppur per sole finalità di test –i dispositivi in alcune giornate, durante gli orari di apertura degli uffici dando così luogo a un trattamento illecito dei dati personali dei propri lavoratori e di tutti i soggetti che a vario titolo erano presenti in sede.
Contravvenendo al principio di “liceità, correttezza e trasparenza” previsto dal Regolamento europeo, l’Istituto non aveva inoltre fornito agli stessi un’informativa sul trattamento dei dati personali, essendo irrilevante che l’attivazione delle telecamere fosse avvenuta a soli fini di verifica tecnica e non avesse comportato la registrazione delle immagini. L’Istituto, infine, non aveva svolto una valutazione di impatto sulla protezione dei dati, prima di iniziare il trattamento, per tutelare i diritti e le libertà degli interessati.
L’Autorità Garante per la privacy e il caso Revolut
Sul caso Revolut si è mossa prontamente l’Autorità Garante della Privacy. È partita una verifica immediata su eventuali falle nella sicurezza degli accessi delle banche italiane. Sia per appurare se vi siano stati altri casi di tentata infiltrazione – come nella vicenda Revolut – sia per richiamare gli istituti bancari a un controllo efficace al proprio interno.
Dagli uffici dell’Autorità è partita una comunicazione alla rete dei responsabili di protezione dati (Dpo) degli istituti bancari invitandoli ad una solerte verifica interna sui propri sistemi e, nel caso di falle accertate, a prendere subito contatto con l’Autorità.
Sul tema degli accessi abusi ai conti correnti, già da mesi sta lavorando una task force Autorità-banche per rafforzare le misure di sicurezza.
Considerato che le modalità utilizzate per l’acquisizione illecita di dati personali risultano particolarmente insidiose e non si può escludere a priori che siano stati fatti tentativi analoghi anche nei confronti di altri istituiti di credito, l’Autorità ha chiesto agli istituti bancari di avviare una verifica all’interno dei sistemi per escludere l’eventuale presenza di comunicazioni “anomale” provenienti dalla stessa casella pec ed effettuare gli opportuni approfondimenti. Se dovessero emergere situazioni simili a quelle del caso Revolut, banche e istituti finanziari sono chiamati ad adottare tempestivamente le misure per attenuare i possibili effetti negativi per gli interessati e informare l’Autorità, ai sensi degli artt. 33 del Regolamento.
L’Autorità Garante si è fatta promotrice di un’azione con l’Autorità omologa lituana (dove si trova la sede legale principale di Revolut), fornendo le informazioni in possesso del Garante italiano, e invitando ad uno scambio reciproco, così da rafforzare l’azione di contrasto.
Inoltre, l’Autorità si è mossa sul fronte del Ministero degli Interni per inquadrare più approfonditamente la vicenda Revolut e appurare se vi siano altre banche o istituti finanziari coinvolti, circoscrivendo il danno avvenuto facendo emergere quanti e quali dati siano stati Compromessi.
La vicenda, infatti, ha evidenziato alcuni lati deboli delle Pec ufficiali in uso, e su questo occorrerà lavorare approfonditamente.
