Post

Istruttorie del Garante Privacy: come si svolgono e come affrontarle.

Nel 2025 il Garante per la protezione dei dati personali ha adottato 807 provvedimenti collegiali, di cui 506 correttivi o sanzionatori, ed effettuato 130 ispezioni su soggetti pubblici e privati, riscuotendo oltre 37 milioni di euro di sanzioni; nello stesso anno le notifiche di data breach ricevute sono state 2.415, il 10% in più rispetto al 2024. Sono numeri che raccontano un'autorità sempre più attiva, e non solo verso i grandi gruppi: tra i destinatari dei provvedimenti degli ultimi due anni compaiono una concessionaria d'auto, una società di autotrasporti, un negozio al dettaglio, persino un bar. Il messaggio per chi amministra un'azienda, di qualunque dimensione, è che l'eventualità di un'istruttoria del Garante non è più uno scenario remoto riservato alle multinazionali. Quello che fa la differenza, quando arriva una richiesta di informazioni o un accertamento ispettivo, non è avere ragione nel merito — a volte la violazione contestata è reale, altre volte ...

Data breach: obblighi di notifica e gestione della violazione

Un ransomware che cifra i server dello studio, una email con dati di clienti inviata al destinatario sbagliato, un portatile smarrito in treno: sono eventi diversi per origine e gravità, ma per il Regolamento (UE) 2016/679 (GDPR) possono essere tutti, a seconda dei casi, una violazione dei dati personali. Da quel momento parte un termine che la legge non sospende: settantadue ore per decidere se notificare l'accaduto al Garante. Questo contributo ricostruisce il quadro normativo, i criteri per valutare il rischio, le modalità della notifica e della comunicazione agli interessati, le sanzioni e una checklist operativa da seguire quando l'evento è già accaduto. Cos'è una violazione dei dati personali (e cosa non lo è) L'art. 4, punto 12, del GDPR definisce la violazione dei dati personali come la violazione di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati pe...

Deroghe al diritto di difesa nella tutela della privacy: quando raccogliere prove sull'altro è lecito

  Chiunque abbia il sospetto che un dipendente stia sottraendo informazioni riservate all'azienda, o che il proprio coniuge non stia dicendo la verità, si trova prima o poi davanti alla stessa domanda: posso controllare, verificare, raccogliere elementi, senza violare la normativa sulla protezione dei dati personali? La risposta, per quanto possa sorprendere chi pensa alla privacy come a un diritto assoluto, è sì, a condizioni precise. L'ordinamento italiano ed europeo hanno costruito, nel tempo, una vera e propria deroga strutturale al regime ordinario di protezione dei dati personali, fondata su un principio semplice: il diritto di difendersi in giudizio, riconosciuto come inviolabile dall'articolo 24 della Costituzione, non può essere reso concretamente inesercitabile dalla disciplina sulla riservatezza. Due esempi, apparentemente distanti tra loro, mostrano bene come funziona questa deroga nella pratica quotidiana degli studi legali e commercialistici: le indagini difen...