Newsletter 06/2025

In primo piano

Biometria illecita: sanzione da 420.000 € ad Autostrade per l’Italia
Il Garante Privacy ha multato Autostrade per aver trattato senza base giuridica valida dati personali di una dipendente, estratti da Facebook, Messenger e WhatsApp, per motivare un licenziamento. Le informazioni, ottenute da colleghi e terzi “amici” della lavoratrice, includevano commenti privati e conversazioni irrilevanti per il rapporto professionale. L’Autorità ha ritenuto la condotta gravemente lesiva dei principi di liceità, finalità e minimizzazione, ribadendo che i dati in ambienti digitali chiusi non possono essere utilizzati liberamente, neppure in ambito disciplinare.
20 giugno 2025
Leggi di più
 

In Primo Piano

Vendite auto online: 45.000 € di sanzione per marketing massivo
Il Garante ha multato un rivenditore di auto per uso illecito di dati personali a fini promozionali. La società non aveva gestito correttamente i rapporti con i partner pubblicitari, consentendo l'invio massivo di e-mail senza consenso valido e senza possibilità effettiva di opposizione. Accertata anche l’assenza del meccanismo di double opt-in e la mancata risposta alle richieste dell’interessato. Nessuna misura correttiva è stata imposta, poiché la società ha cessato l’attività e rescisso i contratti con i partner.
20 giugno 2025
Leggi di più

Smart working: maximulta sull’uso illecito dei metadati e-mail dei dipendenti e log internet dei dipendenti in smart working
Il Garante per la protezione dei dati personali ha comminato una sanzione di 50.000 euro alla Regione Lombardia per violazioni del GDPR relative al trattamento dei dati dei dipendenti, in particolare dei metadati delle e-mail e dei log di navigazione internet. Nel corso di un’istruttoria ispettiva, è emerso che la Regione raccoglieva e conservava informazioni sulla navigazione web dei lavoratori, inclusi tentativi di accesso a siti bloccati, senza aver sottoscritto un accordo collettivo con i sindacati né adottato adeguate misure di tutela della privacy.
Il Garante ha riscontrato che:
• I metadati delle e-mail erano conservati per 90 giorni (il limite massimo ammesso senza garanzie è 21 giorni);
• I log di navigazione web venivano mantenuti per 12 mesi;
• I registri helpdesk, contenenti dati identificativi e ticket, erano conservati per quasi 10 anni.
È stata valutata una raccolta dati non pertinenti all’attività lavorativa, invadendo la sfera privata dei dipendenti. Inoltre, anche il trattamento dei metadati delle e-mail è stato inizialmente gestito senza un accordo specifico, sebbene la Regione abbia successivamente avviato un processo di conformità alle indicazioni dell’Autorità. Oltre alla sanzione pecuniaria, il Garante ha imposto misure correttive, quali l’anonimizzazione dei log relativi ai tentativi di accesso falliti, la cifratura dei nomi dei dipendenti assegnatari dei dispositivi e la riduzione dei tempi di conservazione dei dati.
30 maggio 2025
Leggi di più

Attacco Ransomware all'Ordine degli Psicologi della Lombardia
L'Ordine degli Psicologi della Lombardia è stato vittima di un grave attacco ransomware che ha compromesso la sicurezza di dati personali e sensibili. I cybercriminali hanno infiltrato i sistemi informatici dell'Ordine, cifrando e rubando documenti contenenti informazioni altamente riservate, tra cui dati su minori, informazioni sanitarie, orientamento sessuale e condanne penali. Questi dati sono stati successivamente pubblicati sul dark web dopo il mancato pagamento del riscatto, esponendo gli interessati a rischi significativi come discriminazione, furto d'identità e frodi. Fortunatamente, i sistemi di backup dell'Ordine hanno permesso di recuperare i dati, evitando ulteriori danni a lungo termine.

A seguito della notifica del data breach e di alcuni reclami, il Garante ha avviato un'istruttoria che ha evidenziato diverse criticità nella gestione della sicurezza dei dati personali da parte dell'Ordine. È emerso che l'Ordine non aveva adottato misure tecniche e organizzative adeguate per garantire la sicurezza dei dati trattati, come previsto dal GDPR. In particolare, sono state riscontrate carenze nei sistemi di monitoraggio e prevenzione contro attacchi informatici, nella formazione del personale e nelle politiche di protezione dei dati e gestione dei rischi.
Il Garante ha emesso una sanzione pecuniaria di 30.000 euro, tenendo conto della gravità dei dati compromessi e dei rischi associati al data breach.
29 aprile 2025
Leggi di più 

GDPR per tutti

Segnalazione telefonate indesiderate
Il servizio del Garante per la Protezione dei Dati Personali permette ai cittadini di segnalare chiamate indesiderate ricevute da servizi automatizzati. Attraverso un modulo elettronico sul sito del Garante, gli utenti possono inserire dettagli specifici sulle telefonate, come il numero chiamante, la data, l'ora e il contenuto della promozione. Questo servizio sostituisce il vecchio sistema cartaceo, semplificando il processo di segnalazione e migliorando l'efficienza della gestione delle segnalazioni.
Il Garante utilizza queste segnalazioni per monitorare e controllare le attività di telemarketing, assicurandosi che gli operatori rispettino le normative sulla privacy
8 maggio 2025
Leggi di più