Deliberazione n. 797 del 30/12/2025

Programmazione dell'attività ispettiva del Garante per gennaio-luglio 2026

La deliberazione approva la programmazione dell'attività ispettiva del Garante per la protezione dei dati personali per il periodo gennaio-luglio 2026. Si tratta di un atto di indirizzo organizzativo, adottato per stabilire priorità di controllo e orientare l'azione ispettiva dell'Ufficio, anche tramite la Guardia di Finanza, nei confronti di soggetti non necessariamente individuati in base a reclami o segnalazioni.

Quadro normativo e organizzativo richiamato

Nel preambolo sono richiamati il Regolamento (UE) 2016/679, il d.lgs. 196/2003 come modificato dal d.lgs. 101/2018, gli articoli 157 e 158 del Codice privacy e l'art. 58 del GDPR, in relazione ai poteri di indagine dell'Autorità. Sono inoltre citati il regolamento del Garante n. 1/2000 sull'organizzazione e il funzionamento dell'Ufficio, il regolamento n. 1/2019 sulle procedure interne con rilevanza esterna, il regolamento n. 2/2019 sui termini e sulle unità organizzative responsabili dei procedimenti amministrativi, il protocollo di intesa con la Guardia di Finanza del 30 marzo 2021 e la deliberazione n. 451 del 4 agosto 2025 sulla precedente programmazione limitata al periodo luglio-dicembre 2025.

Criteri della programmazione ispettiva

Il Garante motiva la scelta di individuare periodicamente principi e criteri per l'attività ispettiva, anche per stabilire priorità in relazione alle risorse disponibili e per dare pubblicità alle scelte operate. Si dà atto della considerazione dei procedimenti ispettivi già in corso e di quelli avviati sulla base della precedente programmazione ma non ancora conclusi.

Ambiti prioritari di controllo

Per il semestre gennaio-luglio 2026 l'attività ispettiva è indirizzata in particolare verso i seguenti ambiti:

• prosecuzione, nell'ambito dei lavori della task force interdipartimentale, delle verifiche sui data breach che hanno interessato banche dati pubbliche di particolare rilievo e delicatezza, con attenzione ai sistemi di sicurezza e ai profili di accessibilità, per contrastare accessi abusivi e rivendita di informazioni riservate;
• prosecuzione delle verifiche sugli applicativi maggiormente diffusi per l'acquisizione e la gestione delle segnalazioni whistleblowing;
• verifiche sull'utilizzo di strumenti di intelligenza artificiale in ambito scolastico;
• prosecuzione delle attività di verifica sui trattamenti dei dati personali contenuti nel dossier sanitario;
• prosecuzione delle attività ispettive sull'illecito trattamento di dati a fini di telemarketing, con particolare riferimento al settore energetico;
• trattamenti di dati personali effettuati nell'ambito del Sistema informativo doganale, secondo l'art. 154, comma 2, lett. c), del Codice;
• verifiche e approfondimenti sulle policy e tecniche di anonimizzazione dei dati adottate dalle Telco per la condivisione dei big data, alla luce della sentenza della CGUE del 4 settembre 2025;
• verifiche tecniche sulle violazioni di dati personali comunicate all'Autorità, con particolare riguardo ai casi più estesi e delicati sia in ambito pubblico sia privato;
• ulteriori attività ispettive d'ufficio in caso di particolare urgenza o in relazione a segnalazioni o reclami.

Entità dell'attività e obblighi di reporting

La deliberazione prevede che l'attività ispettiva programmata riguardi almeno 40 accertamenti ispettivi complessivi, effettuati anche a mezzo della Guardia di Finanza. Resta fermo che l'Ufficio può svolgere ulteriori attività istruttorie di carattere ispettivo d'ufficio o a seguito di segnalazioni o reclami. È inoltre previsto che l'Ufficio informi mensilmente il Collegio sui soggetti ispezionati appartenenti alle categorie da a) a h) e riferisca a fine semestre sull'andamento complessivo delle attività ispettive e istruttorie, ai sensi dell'art. 9, comma 4, lett. e), del regolamento n. 1/2000, come modificato dalla deliberazione n. 374 del 25 giugno 2015.

Esito

Il provvedimento non contiene misure correttive, sanzioni o prescrizioni individuali, ma costituisce una deliberazione di programmazione interna dell'attività ispettiva dell'Autorità per il periodo indicato.