L’attività ispettiva del Garante per la protezione dei dati personali per il periodo gennaio-giugno 2025 si concentra su specifici settori e aree, continuando con l’attività ispettiva avviata nei semestri precedenti e introducendo nuovi focus.
Tra i settori che si pongono in continuità con gli accertamenti già avviati, si confermano i principali ambiti di intervento, tra cui la protezione delle banche dati pubbliche, il trattamento dei dati nelle banche e negli istituti di credito, la gestione dei dati biometrici, la gestione dei dati nelle scuole ed i sistemi di cookie di profilazione e tracciamento online.
Complessivamente sono previsti circa 40 accertamenti ispettivi, anche con il supporto della Guardia di Finanza.
Ecco una panoramica degli ambiti oggetto di controllo.
Indice degli argomenti
Settori in continuità con il semestre precedente
Questi ambiti sono stati oggetto di attività ispettive precedenti, con l’intento di proseguire il monitoraggio e rafforzare il controllo.
Data breach e sicurezza delle banche dati pubbliche
Un’attenzione particolare sarà riservata agli accertamenti relativi ai data breach che hanno coinvolto banche dati pubbliche di rilevante importanza e sensibilità.
L’attività ispettiva si concentrerà sulla verifica dei sistemi di sicurezza e sulla corretta gestione dei profili di accessibilità delle banche dati, con l’obiettivo di garantire che siano in atto misure efficaci per la protezione dei dati personali.
Accertamenti nelle banche dati degli istituti di credito
Proseguiranno anche gli accertamenti sui sistemi di trattamento dei dati nelle banche e negli istituti di credito, con particolare attenzione alle violazioni dei dati personali che sono state notificate al Garante.
Verranno esaminati i sistemi di rilevamento delle violazioni, nonché le misure adottate per prevenirle tempestivamente.
Call center ed e-mail marketing
L’Ufficio del Garante concentrerà parte della sua attenzione sulle imprese che gestiscono call center e servizi di e-mail marketing, soprattutto per quanto riguarda l’utilizzo illecito di indirizzi email e banche dati.
Nonostante l’approvazione del codice di condotta, le ispezioni passate, e i provvedimenti sanzionatori, si segnala che permane una preoccupante tendenza al trattamento illecito dei dati personali.
Pertanto, l’Autorità continuerà a vigilare sul corretto uso delle banche dati per l’invio di comunicazioni promozionali e sull’assicurazione del rispetto del consenso degli utenti. Il monitoraggio di questa area rimane una priorità.
Contratti non richiesti nel settore energetico
L’ispezione si focalizzerà anche sulle attivazioni di contratti non richiesti nel settore energetico.
L’attenzione sarà puntata sul rispetto della normativa relativa al consenso da parte dei consumatori-interessati prima di attivare qualsiasi contratto, al fine di evitare pratiche di marketing aggressive e non conformi nonché sul controllo sulla “filiera” del trattamento.
Sistemi di videoallarme
Proseguiranno gli accertamenti sulle aziende che gestiscono sistemi di videoallarme, per garantire che i trattamenti delle immagini siano effettuati nel rispetto dei principi di previsti dal GDPR.
Cookie di profilazione e tracciamento online
Proseguiranno anche le verifiche sull’utilizzo dei cookie di profilazione, con particolare attenzione alle aziende che utilizzano cookie di profilazione e a pratiche di tracciamento non conformi alla normativa, in linea con le linee guida del 10 giugno 2021.
Gestori dell’identità digitale (SPID)
Si concluderà nel primo semestre 2025 il ciclo di ispezioni sui gestori dell’identità digitale (SPID) e sulla filiera dei soggetti di cui essi si avvalgono per il rilascio di servizi fiduciari come SPID e firma digitale.
Trattamento dei dati nelle scuole
Le ispezioni proseguiranno anche nei confronti degli istituti scolastici, per verificare la gestione dei dati tramite registri elettronici.
L’attività si concentrerà sull’assicurare che i dati degli studenti siano trattati in modo sicuro e conforme alla normativa.
Nuovi settori oggetto di accertamento
A partire dal 2025, vengono introdotti nuovi settori di monitoraggio che richiedono un’attenzione particolare in considerazione di evoluzioni tecnologiche e pratiche di mercato.
Programma Statistico Nazionale
Sono previste ispezioni su specifici progetti statistici inseriti nel Programma Statistico Nazionale (PSN), con un focus particolare sull’utilizzo di big data e dati sintetici.
L’attività ispettiva verificherà che i trattamenti di questi dati siano conformi ai principi di responsabilizzazione, di privacy by design e al principio di limitazione della conservazione e del principio di minimizzazione dei dati, in base al quale i dati devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati, sottolineando altresì che il Regolamento richiede che le valutazioni in ordine alla qualità e quantità di informazioni che si ritiene necessario trattare per il perseguimento delle finalità di statistica ufficiale, siano svolte sin dalla progettazione e per impostazione predefinita (artt. 5, par. 1, lett. c) e 25).
Utilizzo di dati biometrici per l’esame della patente
In tema di dati biometrici, sono previste verifiche sull’utilizzo di queste informazioni per l’ammissione agli esami di patente di guida presso gli uffici della Motorizzazione civile.
L’obiettivo è garantire che l’utilizzo di queste tecnologie rispetti pienamente i diritti degli interessati e la normativa sulla protezione dei dati.
Accertamenti vari
Oltre a queste aree specifiche, l’Ufficio del Garante proseguirà con una serie di accertamenti generali nei confronti di soggetti pubblici e privati, al fine di verificare l’osservanza delle disposizioni in materia di protezione dei dati personali.
Le aziende dovranno essere pronte a rispondere a eventuali reclami e segnalazioni formali che potrebbero attivare indagini ispettive.
Ispezioni privacy 2025: come prepararsi
Le aziende dovranno rafforzare le politiche di protezione dei dati, aggiornando regolarmente le misure di sicurezza per garantire la conformità alla normativa.
È fondamentale che siano in grado di dimostrare la conformità alla normativa, la corretta gestione dei consensi e l’adozione di misure tecniche per la protezione dei dati.
In caso di segnalazioni o reclami, sarà essenziale una pronta risposta e la disponibilità a collaborare con l’Autorità per garantire la protezione dei diritti degli interessati.
Il ruolo del DPO
L’arrivo di un’ispezione del Garante rappresenta una sfida importante per le aziende, ma anche un’opportunità per garantire che le proprie pratiche di trattamento dei dati siano conformi alla normativa in vigore.
I DPO e i consulenti privacy giocano un ruolo cruciale nel garantire una gestione corretta del processo ispettivo, assicurandosi che tutte le misure di sicurezza siano in atto e che l’azienda rispetti pienamente le normative GDPR.
La preparazione, la cooperazione e l’adozione di correttivi tempestivi sono fondamentali per evitare sanzioni e garantire la protezione dei dati personali.
Il DPO deve essere presente durante l’attività di accertamento per supportare l’azienda nella raccolta e presentazione della documentazione richiesta e per rispondere tempestivamente alle richieste del Garante. Il consulente privacy, nel caso non ci sia un DPO, avrà lo stesso ruolo di supporto e consulenza.
Una delle aree più scrutinati durante un’ispezione riguarda la documentazione relativa alla gestione dei dati. Il DPO e i consulenti devono garantire che tutti i documenti necessari siano pronti e facilmente accessibili, tra cui:
- registro delle attività di trattamento;
- valutazioni di impatto sulla protezione dei dati (DPIA);
- contratti con i responsabili del trattamento (ai sensi dell’art. 28 del GDPR);
- politiche e procedure interne di protezione dei dati;
- moduli di consenso degli utenti, se applicabili.
Il DPO dovrà assicurarsi che tutte le analisi dei rischi siano state condotte e documentate correttamente.
Se, durante l’ispezione, vengono individuati eventuali rischi o aree di non conformità, è essenziale che l’azienda abbia già identificato e avviato le misure correttive necessarie per risolvere i problemi riscontrati.
Potrebbe anche essere necessario seguire un processo di monitoraggio continuo per garantire che l’azienda rimanga conforme e che tutte le modifiche siano adeguatamente documentate.
Conclusioni
Le aziende devono affrontare il 2025 con una rinnovata attenzione alla protezione dei dati personali.
L’attività ispettiva in programma, che coprirà una vasta gamma di settori e casi specifici, impone alle imprese di essere proattive nell’assicurare che i loro sistemi di gestione dei dati siano conformi alla normativa.
La preparazione adeguata non solo eviterà sanzioni, ma contribuirà anche a tutelare i diritti degli utenti e a migliorare la reputazione aziendale.
