Deliberazione n. 451 del 04/08/2025

Programmazione dell’attività ispettiva del Garante per il secondo semestre 2025

Il Garante per la protezione dei dati personali ha approvato, con deliberazione del 4 agosto 2025 n. 451, la programmazione dell’attività ispettiva limitatamente al periodo luglio/dicembre 2025. Il provvedimento non individua un destinatario specifico né contiene contestazioni sanzionatorie, ma stabilisce le priorità di controllo dell’Ufficio, anche mediante il supporto della Guardia di Finanza.

Contesto normativo e finalità della deliberazione

La deliberazione richiama il Regolamento (UE) 2016/679, il d.lgs. 196/2003 come modificato dal d.lgs. 101/2018, gli artt. 157 e 158 del Codice e l’art. 58 del Regolamento in materia di poteri di indagine. Sono richiamati inoltre il regolamento del Garante n. 1/2000, i regolamenti n. 1/2019 e n. 2/2019, il protocollo d’intesa con la Guardia di Finanza del 30 marzo 2021 e la precedente deliberazione di programmazione n. 808 del 19 dicembre 2024, riferita al semestre gennaio-giugno 2025.

L’Autorità evidenzia la necessità di individuare periodicamente principi e criteri che orientino l’attività ispettiva, anche per definire le priorità in relazione alle risorse disponibili, dando pubblicità alle scelte operate.

Ambiti di intervento per il periodo luglio-dicembre 2025

L’attività ispettiva viene indirizzata verso le seguenti aree:

• accertamenti relativi ai data breach che hanno interessato negli ultimi mesi banche dati pubbliche di particolare rilievo e delicatezza, con verifica dei sistemi di sicurezza e dei profili di accessibilità;
• trattamenti svolti in ambito assicurativo per fini di preventivazione;
• utilizzo degli applicativi più diffusi per l’acquisizione e la gestione delle segnalazioni whistleblowing;
• trattamenti effettuati nell’ambito dei servizi di trasporto pubblico locale;
• trattamenti con riconoscimento biometrico per l’identificazione dei clienti dei servizi bancari;
• trattamenti di dati in ambito statistico con specifico riferimento alla tenuta dei registri di patologia;
• prosecuzione delle attività concernenti i trattamenti dei dati personali contenuti nel c.d. dossier sanitario;
• prosecuzione delle attività ispettive sull’illecito trattamento di dati ai fini di telemarketing nel settore energetico.

Intensità dell’attività ispettiva e soggetti coinvolti

La programmazione prevede almeno 35 accertamenti ispettivi riferiti ai punti da a) a h), da svolgersi anche a mezzo della Guardia di Finanza. La deliberazione precisa che restano salve ulteriori attività istruttorie di carattere ispettivo d’ufficio, nonché quelle avviate in relazione a segnalazioni o reclami.

Obblighi di informazione interna e monitoraggio

L’Ufficio del Garante è tenuto a informare mensilmente il Collegio sui soggetti ispezionati appartenenti alle categorie programmate e, al termine del semestre, a riferire sull’andamento complessivo delle attività ispettive e delle attività istruttorie a carattere ispettivo comunque svolte. Il richiamo è all’art. 9, comma 4, lettera e), del regolamento n. 1/2000, come modificato dalla deliberazione n. 374 del 25 giugno 2015.

Natura del provvedimento

Si tratta di un atto di programmazione interna dell’attività di controllo, con funzione organizzativa e di indirizzo, privo di effetti sanzionatori immediati. Il suo rilievo pratico consiste nell’indicare i settori nei quali è ragionevole attendersi l’avvio di verifiche e ispezioni nel secondo semestre 2025.