Deliberazione n. 808 del 19/12/2024

Programmazione dell'attività ispettiva del Garante per il semestre gennaio-giugno 2025

La deliberazione definisce, per il periodo gennaio/giugno 2025, i criteri e le priorità dell'attività ispettiva dell'Ufficio del Garante per la protezione dei dati personali, anche tramite la Guardia di finanza. Il provvedimento non riguarda una singola violazione accertata, ma la pianificazione di accertamenti in loco e online su una pluralità di settori considerati a rischio o di particolare rilievo.

Base normativa e quadro organizzativo

La programmazione si fonda sui poteri di indagine attribuiti al Garante dagli artt. 157 e 158 del Codice privacy e dall'art. 58 del GDPR. Sono richiamati inoltre il regolamento organizzativo dell'Ufficio, i regolamenti interni del 2019 sulle procedure e sui termini dei procedimenti amministrativi, nonché il protocollo di intesa con la Guardia di finanza del 30 marzo 2021. La deliberazione si colloca in continuità con la precedente programmazione dell'attività ispettiva approvata con deliberazione n. 474 del 4 luglio 2024.

Finalità della programmazione

Il Garante motiva la necessità di individuare periodicamente princìpi e criteri di intervento per orientare le risorse disponibili e stabilire le priorità dell'azione ispettiva. Viene specificato che per attività ispettiva si intende l'accertamento in loco svolto dal personale dell'Ufficio o delegato alla Guardia di finanza nei luoghi in cui si effettuano trattamenti di dati. È inoltre evidenziata l'opportunità di dare rilievo anche ad accertamenti online relativi a trattamenti di dati personali effettuati tramite siti Internet, sia da soggetti pubblici sia da soggetti privati.

Ambiti di intervento prioritari

Per il semestre gennaio-giugno 2025 la programmazione indirizza l'attività ispettiva verso almeno 40 accertamenti nei seguenti ambiti:

• data breach che hanno interessato negli ultimi mesi banche dati pubbliche di particolare rilievo e delicatezza, con attenzione ai sistemi di sicurezza e ai profili di accessibilità;
• banche dati degli istituti di credito, con verifica delle violazioni di dati personali oggetto di notificazione al Garante e delle misure adottate per la tempestiva rilevazione e prevenzione;
• trattamenti nel campo della statistica relativi a specifici progetti inseriti nel PSN, con uso di big data e dati sintetici;
• trattamenti effettuati da imprese che gestiscono call center e servizi di email marketing, ove l'uso di indirizzari e banche dati risulti illegittimo;
• attivazione di contratti non richiesti nel settore energetico;
• utilizzo di dati biometrici per l'ammissione agli esami della patente di guida presso gli uffici della Motorizzazione civile;
• uso di cookie di profilazione, in continuità con le Linee guida del 10 giugno 2021 e tenendo conto di segnalazioni e reclami;
• sistemi di videoallarme;
• gestori dell'identità digitale (SPID) e soggetti della filiera coinvolti nel rilascio di servizi fiduciari, inclusi SPID e firma digitale;
• trattamenti presso gli istituti scolastici tramite registri elettronici;
• ulteriori accertamenti nei confronti di soggetti pubblici e privati, anche in relazione a reclami e segnalazioni formali già istruiti presso i Dipartimenti e i Servizi dell'Autorità.

Coordinamento e monitoraggio dell'attività

La deliberazione precisa che l'Ufficio potrà svolgere anche ulteriori attività istruttorie di carattere ispettivo d'ufficio o a seguito di segnalazioni e reclami. È previsto un monitoraggio interno: il Garante dovrà essere informato mensilmente sui soggetti ispezionati nelle categorie individuate e ricevere, al termine del semestre, una relazione complessiva sull'andamento delle attività ispettive e istruttorie svolte ai sensi dell'art. 9, comma 4, lettera e), del Regolamento n. 1/2000.