Di Bruno Siciliano - Security Manager
Introduzione
Tra la fine del 2025 e la seconda metà del 2026 l’Autorità Garante per la protezione dei dati personali ha intensificato in modo significativo la propria attività sanzionatoria, colpendo alcuni dei principali gruppi bancari, assicurativi, energetici e industriali italiani. Un anno segnato da multe milionarie per data breach nel settore finanziario, da interventi sulla sorveglianza dei lavoratori tramite intelligenza artificiale, da un confronto con la Corte di Cassazione sui termini delle sanzioni, e da alcuni casi di cronaca che hanno riportato il diritto alla riservatezza al centro del dibattito pubblico.
Le maxi-sanzioni per data breach nel settore bancario
Il capitolo più rilevante riguarda le violazioni di dati personali che hanno colpito alcuni dei maggiori istituti di credito italiani. Il Garante ha sanzionato Intesa Sanpaolo per un data breach con una multa di circa 31,8 milioni di euro, una delle sanzioni più elevate mai comminate dall’Autorità a un singolo soggetto. Poco dopo è arrivata un’ulteriore sanzione pesante nei confronti di Poste Italiane e della controllata Postepay, per oltre 12,5 milioni di euro complessivi, seguita da quella a Banco Bilbao Italia, per circa 5,5 milioni. A questi casi si aggiunge un istituto bancario sanzionato per aver gestito male il diritto di opposizione dei clienti al trattamento dei dati per finalità commerciali. La sequenza conferma il settore finanziario come uno dei comparti più esposti al rischio di violazioni e più attenzionati dall’Autorità , che ha ribadito la necessità di investimenti adeguati in sicurezza informatica.
Energia, telecomunicazioni e marketing scorretto
Non solo banche: il Garante è intervenuto anche su Eni, sanzionata per 96mila euro, e su Acea Energia, colpita da una multa da 2 milioni per contratti attivati a insaputa dei clienti tramite agenti porta a porta. Una società di telecomunicazioni è stata sanzionata nell’estate 2026 per diverse violazioni. Sul fronte del marketing, Altroconsumo Edizioni è stata multata per circa 280mila euro, mentre l’Autorità ha bloccato il sito Trovanumeri.com dalla formazione di elenchi telefonici ottenuti tramite raccolta automatizzata di dati dal web (web scraping), pratica tornata centrale anche per l’addestramento dei sistemi di intelligenza artificiale. Anche Piaggio è stata sanzionata, per 460mila euro, per una raccolta sistematica di dati non conforme.
Intelligenza artificiale sul lavoro
Un caso significativo riguarda una start-up italiana che ha sviluppato un plug-in aziendale capace di rilevare, tramite analisi del linguaggio, lo stato emotivo e il livello di stress dei dipendenti. Il Garante ha avvertito la società , ponendo sotto osservazione lo strumento: un episodio che anticipa i temi al centro del dibattito sull’uso dell’IA negli ambienti di lavoro, affrontato anche nello schema di decreto di adeguamento all’AI Act.
I casi di cronaca: Garlasco, Bova-Corona e i deepfake su Mentana
L’anno ha visto il Garante intervenire su vicende di forte eco mediatica. Sul caso Garlasco, tornato al centro delle cronache giudiziarie, l’Autorità ha rivolto un fermo richiamo ai media, continuando a vigilare alla luce dei reclami ricevuti. Più rilevante il caso della diffusione di conversazioni private dell’attore Raoul Bova: il Garante l’ha dichiarata illecita, sanzionando Fabrizio Corona per averle pubblicate a fini di spettacolarizzazione. Sul fronte dei contenuti artificiali, l’Autorità ha bloccato una serie di deepfake satirici ai danni del giornalista Enrico Mentana, ammonendo l’emittente R.T.I. per alcuni video di Striscia la Notizia. Interventi che si inseriscono in un filone più ampio di avvertimenti sui deepfake, rispetto ai quali il Garante ha chiesto maggiori poteri di intervento.
Sanità e dati sensibili
Il comparto sanitario resta tra i più delicati: un’azienda sanitaria di Udine è stata sanzionata per 24mila euro, poiché il dossier sanitario dei pazienti deve restare accessibile solo per ragioni di cura. L’Autorità ha anche vietato la diffusione della foto di un paziente senza consenso e ha aggiornato le FAQ sul Fascicolo Sanitario Elettronico, oltre a chiarimenti sulle regole per esami e corsi a distanza in ambito scolastico.
La Cassazione e il termine dei 120 giorni
Un aspetto tecnico ma di grande impatto pratico riguarda il termine entro cui il Garante deve notificare l’avvio del procedimento sanzionatorio. Con due distinte pronunce, la Cassazione Civile si è espressa sul termine per irrogare la sanzione e sul momento da cui decorre il termine per avviare il procedimento quando è stata richiesta un’integrazione al segnalante. Il Segretario generale dell’Autorità è intervenuto pubblicamente sulla decorrenza del termine dei 120 giorni riferito alla fase pre-istruttoria, un chiarimento importante per le aziende che spesso contestano proprio la tempestività dell’azione del Garante.
Il piano ispettivo per fine 2026
Il Garante ha reso noto il proprio piano ispettivo per agosto-dicembre 2026, con almeno 35 accertamenti che ampliano il raggio dei controlli oltre data breach e sanità , includendo geomarketing, neuromarketing, dynamic pricing, fornitori-DPO, Comuni, ASL e sistemi di intelligenza artificiale: un segnale della progressiva estensione della vigilanza verso pratiche commerciali più sofisticate basate su dati comportamentali.
L’attività del Garante nell’ultimo anno racconta un’autorità sempre più attiva su più fronti: repressione severa delle violazioni di sicurezza nel settore bancario, attenzione crescente ai rischi legati all’intelligenza artificiale sul lavoro e negli spazi pubblici, e un ruolo di garanzia nei casi mediatici che toccano la vita privata di persone note. Il prossimo anno si annuncia decisivo, tra l’entrata in vigore delle norme di adeguamento all’AI Act e un piano ispettivo destinato a estendere ulteriormente i controlli sul trattamento dei dati personali in Italia.
Di Bruno Siciliano – Security Manager
