Il 2 luglio scorso, nella Sala della Regina di Palazzo Montecitorio, il Garante per la protezione dei dati personali ha presentato alla Camera dei Deputati il bilancio della propria attività per il 2025. È un documento che, come ogni anno, fotografa l’attività dell’Autorità ma soprattutto indica le direzioni verso cui si sta muovendo la vigilanza nei prossimi mesi. I numeri di quest’anno sono di per sé significativi: 807 provvedimenti collegiali adottati, oltre 37 milioni di euro di sanzioni riscosse, 4.288 reclami e ben 145.846 segnalazioni evase, 65 comunicazioni di notizie di reato all’autorità giudiziaria (contro le 16 dell’anno precedente), 130 ispezioni effettuate e 2.415 data breach notificati, in aumento del 10% rispetto al 2024. Un’attività sempre più intensa, che ha riguardato in modo trasversale sanità, scuola, lavoro, sicurezza informatica e digitalizzazione della pubblica amministrazione.
Per i nostri clienti pubblici — Comuni, Consorzi di Polizia locale, società in-house, IPAB — il documento offre indicazioni molto concrete su dove concentrare l’attenzione nei prossimi mesi. Le riepilogo qui di seguito, ambito per ambito.
Videosorveglianza e controllo a distanza dei lavoratori. Tra le comunicazioni di reato inviate dal Garante alla magistratura, una parte rilevante riguarda proprio il controllo a distanza del personale e l’accesso abusivo a sistemi informatici. Per i Consorzi di Polizia locale, che gestiscono sistemi di videosorveglianza urbana, apparati di rilevazione targhe e dispositivi indossabili (bodycam), è il momento di verificare che regolamenti interni, informative ai dipendenti e accordi sindacali siano coerenti con le reali finalità dei sistemi installati, evitando che strumenti nati per la sicurezza pubblica finiscano per configurare un controllo a distanza non autorizzato dei lavoratori.
Banche dati pubbliche e prevenzione degli accessi abusivi. Le ispezioni del 2025 hanno riguardato in particolare SPID, registri elettronici, sistemi di riconoscimento facciale e grandi banche dati pubbliche. Il caso Lepida, sanzionata per aver reso scaricabili dati personali di 1,5 milioni di cittadini “anche per mera curiosità”, è un monito diretto per tutti gli enti che gestiscono anagrafiche, banche dati sanitarie o archivi documentali: non basta prevedere profili di accesso sulla carta, occorrono log realmente monitorati, verifiche periodiche su chi accede a cosa e perché, e una revisione delle autorizzazioni che tenga conto del turnover del personale.
Sanità e servizi socio-assistenziali. Per le IPAB e per gli enti con funzioni socio-sanitarie il Garante segnala criticità ricorrenti nella gestione dei dossier sanitari, nelle procedure di identificazione di pazienti e utenti, nella comunicazione dei dati sanitari a terzi e nella prevenzione degli accessi non autorizzati ai sistemi informativi. Sono gli stessi 28 pareri resi dall’Autorità su schemi di decreti sanitari a ribadire i medesimi principi: privacy by design, minimizzazione dei dati raccolti, trasparenza verso l’assistito e accountability documentabile. Un buon momento per rivedere le procedure interne di accesso ai fascicoli e le clausole privacy con i fornitori di software gestionali.
Intelligenza artificiale nella PA. Il tema dell’IA attraversa l’intera Relazione ed è destinato a diventare centrale anche per gli enti locali, complice l’attuazione dell’AI Act e i lavori sul Sistema IT-Wallet e sul futuro Portafoglio europeo di identità digitale (EUDI Wallet). Qualunque progetto che introduca strumenti di intelligenza artificiale — anche apparentemente semplici, come chatbot per i cittadini, sistemi di supporto alle decisioni amministrative o strumenti predittivi — dovrebbe essere accompagnato da una valutazione d’impatto documentata, con base giuridica chiara, informativa trasparente e un piano di gestione del ciclo di vita del sistema, non da un’adozione “di fatto” senza istruttoria privacy.
Minori, scuola e sharenting. La tutela dei minori online resta priorità trasversale: proseguono le attività su age verification, sistemi di accesso ai social e campagne come “La sua privacy vale più di un like”. Per gli enti con servizi educativi, scolastici o ricreativi rivolti a minori, è utile rivedere le informative rese a scuole e famiglie, specialmente quando si utilizzano piattaforme digitali o applicativi basati su IA per la didattica.
Data breach. L’aumento delle notifiche (+10%) e la conferma che solo una minima parte dà luogo a provvedimenti sanzionatori confermano che una procedura interna ben rodata — capace di riconoscere tempestivamente l’incidente, valutarne la gravità e notificarlo nei termini quando necessario — è oggi lo strumento di tutela più efficace, anche in chiave di riduzione del rischio sanzionatorio.
In sintesi, la Relazione 2025 chiede alla pubblica amministrazione un salto di qualità: meno adempimenti formali fini a sé stessi, più governance sostanziale dei dati, soprattutto nei processi che coinvolgono nuove tecnologie. Nei prossimi mesi affiancherò ciascun ente in una verifica mirata di registri dei trattamenti, misure di sicurezza, procedure di data breach e progetti di intelligenza artificiale in corso, per anticipare proprio le aree di maggior rischio individuate dal Garante.
