Il presente lavoro prende spunto da un documento frutto di un interessante contributo che si propone di definire le linee guida di procurement dedicate alla cybersicurezza dei sistemi di intelligenza artificiale acquisiti da ospedali ed erogatori di prestazioni sanitarie (AI&Partners: Procurement guidelines for AI cybersecurity within healthcare), e che propone di spostare il baricentro del presidio di sicurezza dal momento dell’esercizio a quello dell’acquisto, articolando le misure lungo uno strato strategico di governance e tre fasi di approvvigionamento denominate “plan”, “source” e “manage”. L’impianto è ancorato al Regolamento (UE) 2024/1689 (AI Act), alla Direttiva (UE) 2022/2555 (NIS2) e al decreto legislativo 138/2024, ai Regolamenti (UE) 2017/745 e 2017/746 sui dispositivi medici e sui diagnostici in vitro, al Regolamento (UE) 2016/679 (GDPR), al Regolamento (UE) 2025/327 sullo Spazio europeo dei dati sanitari e al Regolamento (UE) 2024/2847 (Cyber Resilience Act). Il contributo principale del presente lavoro di commento non risiede nel catalogo delle misure — in larga parte noto — bensì nella traduzione degli obblighi del deployer in clausole contrattuali e criteri di aggiudicazione verificabili, e proprio su tale traduzione si misura la tenuta della funzione del DPO nelle organizzazioni sanitarie.

Premessa

In premessa va detto che il perimetro dell’analisi è circoscritto. Non si tratta qui di valutare l’opportunità clinica dell’adozione di sistemi di intelligenza artificiale in ambito sanitario, questione che esula dalle competenze giuridiche e che attiene alla governance clinica e alle valutazioni di health technology assessment. Si tratta, piuttosto, di affrontare un problema di diritto applicato assai concreto: come un’organizzazione sanitaria — soggetto che nella tassonomia dell’AI Act riveste, nella generalità dei casi, la qualifica di “deployer” ai sensi dell’articolo 3, punto 4, del Regolamento (UE) 2024/1689, e che nella tassonomia della NIS2 è verosimilmente soggetto essenziale o importante del settore sanitario — possa adempiere obblighi che la legge le impone in fase di esercizio attraverso leve che essa esercita, di fatto, soltanto in fase di acquisto.

Il punto merita di essere esplicitato perché è il presupposto logico dell’intero ragionamento. Il deployer di un sistema di IA ad alto rischio è tenuto, in forza dell’articolo 26 dell’AI Act, ad adottare misure tecniche e organizzative idonee a garantire l’uso del sistema conformemente alle istruzioni del fornitore, ad assicurare la sorveglianza umana da parte di persone dotate di competenza e autorità, a verificare la pertinenza e rappresentatività dei dati di input nella misura in cui esercita il controllo su di essi, a monitorare il funzionamento del sistema e a conservare i log generati automaticamente. Trattasi di obblighi che presuppongono, tutti, che il sistema acquistato sia stato progettato e contrattualizzato in modo da renderli materialmente eseguibili. Se il contratto non prevede l’accesso ai log, il deployer non potrà conservarli; se il fornitore non dichiara il modello di base sottostante né le sue sostituzioni, il deployer non potrà monitorare il funzionamento in modo significativo; se la documentazione d’uso non esplicita i limiti di accuratezza e le popolazioni sulle quali le metriche sono state stabilite, la sorveglianza umana si riduce a un adempimento formale.

Come noto, il medesimo meccanismo opera sul versante NIS2. L’articolo 21, paragrafo 2, lettera d), della Direttiva (UE) 2022/2555 impone misure di gestione dei rischi relative alla “sicurezza della catena di approvvigionamento, compresi aspetti relativi alla sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi”, e il decreto legislativo 138/2024 ha recepito tale impostazione nell’ordinamento nazionale. Anche qui, l’obbligo è di esercizio ma l’adempimento è di acquisto: la sicurezza della catena di fornitura si costruisce in sede di capitolato, non in sede di incident response.

L’analisi e il commento al documento che segue, muove da questa constatazione e si interroga su tre profili: la coerenza della tassonomia proposta dal documento con le qualificazioni giuridiche europee; l’effettiva azionabilità delle clausole contrattuali suggerite nel contesto, anche pubblicistico, degli affidamenti sanitari italiani; i limiti che una logica di procurement incontra quando l’oggetto dell’acquisto è un sistema il cui comportamento muta nel tempo.

Il contesto: perché il settore sanitario è il banco di prova della sicurezza dell’IA

L’intelligenza artificiale è ormai diffusa in diagnostica per immagini, supporto alle decisioni cliniche, monitoraggio dei pazienti, triage, automazione amministrativa e, in misura crescente, in strumenti generativi che redigono documentazione clinica. Si tratta di una ricognizione fattuale che trova riscontro nella prassi e che non necessita di enfasi.

Ciò che rileva, per quanto di stretto interesse in questa sede, è la combinazione di tre fattori che rendono il settore sanitario particolarmente esposto. Il primo è la natura dei dati trattati: dati relativi alla salute, categoria particolare ai sensi dell’articolo 9, paragrafo 1, del GDPR, il cui trattamento è vietato salve le condizioni di liceità del paragrafo 2 e la cui violazione produce, nella generalità dei casi, un rischio elevato per i diritti e le libertà degli interessati. Il secondo è la qualificazione del settore come altamente critico ai fini NIS2, con la conseguente applicazione del regime di gestione del rischio e di notifica degli incidenti. Il terzo è la sovrapposizione, frequente e non sempre percepita, con la disciplina dei dispositivi medici: quando il software di IA costituisce un dispositivo medico o un componente di sicurezza di un dispositivo, esso rientra nell’ambito dell’articolo 6, paragrafo 1, dell’AI Act e viene qualificato come sistema ad alto rischio, con tutto ciò che ne consegue in termini di requisiti di cui al Capo III, Sezione 2, del Regolamento.

In termini più pragmatici, un medesimo applicativo — poniamo, un modulo di triage radiologico — può essere contemporaneamente un dispositivo medico soggetto al Regolamento (UE) 2017/745, un sistema di IA ad alto rischio soggetto al Regolamento (UE) 2024/1689, un trattamento di dati sanitari soggetto al GDPR e un asset della catena di fornitura rilevante ai fini della NIS2. Si ritiene che proprio questa stratificazione, e non la novità tecnologica in sé, costituisca la difficoltà operativa principale per le strutture sanitarie: non già l’assenza di regole, bensì la necessità di comporre regimi concepiti separatamente e con logiche di conformità differenti — conformità di prodotto per il MDR e per l’AI Act, conformità di processo per il GDPR, conformità di gestione del rischio per la NIS2.

Il quadro normativo di riferimento

La disciplina europea sull’intelligenza artificiale

Il Regolamento (UE) 2024/1689 costituisce il riferimento primario. Rilevano, ai fini che qui interessano, alcune disposizioni specifiche.

L’articolo 15 stabilisce che i sistemi di IA ad alto rischio siano progettati e sviluppati “in modo tale da conseguire un adeguato livello di accuratezza, robustezza e cibersicurezza e da operare in modo coerente sotto tali aspetti durante tutto il loro ciclo di vita”. La norma prosegue specificando che le soluzioni tecniche volte ad affrontare le vulnerabilità specifiche dell’IA devono comprendere, se del caso, misure “di prevenzione, accertamento, risposta, risoluzione e controllo per quanto riguarda gli attacchi che cercano di manipolare il set di dati di addestramento (avvelenamento dei dati) o i componenti preaddestrati utilizzati nell’addestramento (avvelenamento dei modelli), gli input concepiti per far sì che il modello di IA commetta un errore (esempi antagonistici o evasione dal modello), gli attacchi alla riservatezza o i difetti del modello”. Si tratta di un dato normativo di notevole importanza pratica: le minacce che il documento in commento elenca nella sua sezione dedicata ai rischi specifici dell’IA non sono una costruzione dottrinale, ma categorie espressamente tipizzate dal legislatore europeo. Di conseguenza, richiedere al fornitore evidenza del presidio di tali minacce non è una pretesa negoziale discrezionale: è la verifica di un requisito legale di prodotto.

L’articolo 10 disciplina la governance dei dati di addestramento, validazione e prova, imponendo che tali set siano pertinenti, sufficientemente rappresentativi e, nella misura del possibile, privi di errori e completi in funzione della finalità prevista, con attenzione alle caratteristiche proprie del contesto geografico, comportamentale o funzionale di utilizzo. L’articolo 12 impone la registrazione automatica degli eventi (log) lungo il ciclo di vita. L’articolo 13 impone la trasparenza verso il deployer e la fornitura di istruzioni per l’uso contenenti, tra l’altro, il livello di accuratezza e le metriche pertinenti, nonché le circostanze prevedibili che possono condurre a rischi. L’articolo 14 disciplina la sorveglianza umana.

Sul versante del deployer rilevano l’articolo 26, già richiamato, e l’articolo 27, che impone la valutazione d’impatto sui diritti fondamentali a determinati soggetti, tra cui gli organismi di diritto pubblico, per i sistemi ad alto rischio di cui all’allegato III. Va detto che la portata applicativa dell’articolo 27 agli enti del Servizio sanitario nazionale merita un vaglio caso per caso, poiché il riferimento è all’allegato III e non all’allegato I, e numerosi sistemi di IA sanitari rientrano nell’alto rischio proprio in forza dell’allegato I, cioè per il tramite della normativa di prodotto. Non si ha evidenza, allo stato, di orientamenti interpretativi consolidati che risolvano in modo definitivo il punto; si suggerisce pertanto prudenza, nel senso di condurre comunque una valutazione di impatto sui diritti fondamentali integrata alla valutazione d’impatto sulla protezione dei dati, quando il sistema incide su percorsi assistenziali.

Rileva infine l’articolo 4, che impone a fornitori e deployer di adottare misure per garantire un livello sufficiente di alfabetizzazione in materia di IA del proprio personale. Si tratta di una disposizione applicabile a decorrere dal 2 febbraio 2025, la cui attuazione nel settore sanitario presenta una specificità: il destinatario della formazione non è soltanto il personale tecnico, ma il clinico che utilizza l’output del sistema e che, per effetto del bias di automazione, può attribuirgli un’affidabilità superiore a quella dichiarata.

La disciplina sulla sicurezza delle reti e dei sistemi informativi

La Direttiva (UE) 2022/2555, recepita in Italia con il decreto legislativo 138/2024, impone ai soggetti essenziali e importanti del settore sanitario misure di gestione dei rischi di cui all’articolo 21 e obblighi di notifica degli incidenti significativi secondo le scansioni temporali dell’articolo 23 — preallarme entro ventiquattro ore, notifica entro settantadue ore, relazione finale entro un mese. L’Agenzia per la cybersicurezza nazionale è l’autorità competente nell’ordinamento interno.

Il profilo che qui interessa è duplice. Da un lato, la già citata sicurezza della catena di approvvigionamento, che impone di considerare la qualità dei prodotti e le pratiche di sicurezza dei fornitori, ivi compresi i loro processi di sviluppo sicuro. Dall’altro, l’articolo 20 della Direttiva, che attribuisce agli organi di gestione la responsabilità di approvare le misure e li obbliga a seguire formazioni specifiche: di conseguenza, la decisione di acquistare un sistema di IA che incide su funzioni cliniche critiche non è una scelta tecnica delegabile, ma una decisione che investe la responsabilità dell’organo amministrativo.

Si osserva inoltre che la nozione di “incidente” ai fini NIS2 e quella di “incidente grave” ai fini dell’articolo 73 dell’AI Act non coincidono, così come non coincidono con la nozione di violazione dei dati personali di cui all’articolo 4, punto 12, del GDPR né con quella di incidente da vigilanza del MDR. Un medesimo evento — poniamo, l’esfiltrazione di dati di addestramento tramite attacco di inversione del modello — può attivare simultaneamente quattro canali di notifica verso quattro autorità diverse, con scansioni temporali differenti. La predisposizione contrattuale di obblighi informativi tempestivi a carico del fornitore è, pertanto, condizione di adempibilità degli obblighi pubblicistici del committente.

La disciplina di prodotto: dispositivi medici e Cyber Resilience Act

I Regolamenti (UE) 2017/745 e 2017/746 contengono, nei requisiti generali di sicurezza e prestazione di cui all’allegato I, prescrizioni relative al software, alla sua affidabilità, alla ripetibilità e alla sicurezza informatica, nonché obblighi di sorveglianza post-commercializzazione e di vigilanza. La qualificazione come dispositivo medico comporta la marcatura CE e la valutazione di conformità secondo le procedure applicabili alla classe di rischio.

Il Regolamento (UE) 2024/2847, Cyber Resilience Act, introduce requisiti orizzontali di cybersicurezza per i prodotti con elementi digitali. I prodotti coperti dal MDR o dall’IVDR sono trattati nell’ambito di quei regimi anziché del CRA: si tratta di un coordinamento necessario a evitare duplicazioni di valutazione di conformità, ma che in sede di procurement richiede al committente di accertare preliminarmente quale disciplina di prodotto si applichi, poiché da essa discende la natura dell’evidenza documentale esigibile dal fornitore.

La protezione dei dati personali e lo Spazio europeo dei dati sanitari

Il Regolamento (UE) 2016/679 governa il trattamento dei dati sanitari che costituiscono l’input, l’output e, talora, il materiale di addestramento dei sistemi in questione. Rilevano in particolare l’articolo 9 sulle categorie particolari, l’articolo 22 sul processo decisionale automatizzato, l’articolo 25 sulla protezione dei dati fin dalla progettazione e per impostazione predefinita, l’articolo 28 sui responsabili del trattamento e sulle autorizzazioni ai sub-responsabili, l’articolo 32 sulla sicurezza del trattamento e l’articolo 35 sulla valutazione d’impatto.

L’articolo 32, paragrafo 1, del GDPR merita di essere richiamato nella sua formulazione testuale, poiché costituisce il fondamento normativo dell’approccio proporzionale che il documento in commento adotta: il titolare e il responsabile mettono in atto misure tecniche e organizzative adeguate “tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche”. In sostanza, la norma consente — anzi impone — di graduare le misure. In termini più pragmatici, essa giustifica la distinzione, proposta dal documento, fra un livello di base per strumenti amministrativi a basso impatto e un livello rafforzato per sistemi che intervengono su processi clinici critici: la differenziazione non è un cedimento sul piano della tutela, ma l’applicazione del principio di adeguatezza.

Quanto all’articolo 35, la valutazione d’impatto è obbligatoria quando il trattamento può presentare un rischio elevato; le Linee guida WP248 rev.01 in materia di valutazione d’impatto sulla protezione dei dati, fatte proprie dal Comitato europeo per la protezione dei dati, individuano criteri fra i quali il trattamento su larga scala di dati appartenenti a categorie particolari, l’uso innovativo di soluzioni tecnologiche e la valutazione o attribuzione di punteggio. Nell’ordinamento interno, il provvedimento del Garante per la protezione dei dati personali n. 467 dell’11 ottobre 2018 ha adottato l’elenco delle tipologie di trattamenti soggetti al requisito di valutazione d’impatto, nel quale figurano trattamenti di dati sanitari in ambito di assistenza mediante l’uso di tecnologie innovative. Appare chiaro allo scrivente che, nella quasi totalità dei casi di IA clinica, la valutazione d’impatto sia dovuta e non costituisca oggetto di apprezzamento discrezionale.

Il Regolamento (UE) 2025/327 sullo Spazio europeo dei dati sanitari aggiunge un livello ulteriore, disciplinando l’uso primario e secondario dei dati sanitari elettronici e i requisiti dei sistemi di cartella clinica elettronica. Le sue scansioni applicative sono dilazionate nel tempo, ma la circostanza non esime il committente dal prevedere, già oggi, clausole di adeguamento prospettico: un sistema acquisito nel 2026 con un ciclo di vita di sette anni dovrà operare in un contesto normativo nel quale l’EHDS sarà pienamente efficace.

Il quadro nazionale

Nell’ordinamento interno, oltre al decreto legislativo 138/2024 e al decreto legislativo 196/2003 come modificato dal decreto legislativo 101/2018, rileva la legge 132/2025 recante disposizioni e deleghe in materia di intelligenza artificiale, che contiene previsioni di principio sull’impiego dell’IA in ambito sanitario, sull’informazione del paziente e sulla riserva della decisione in capo al professionista sanitario, nonché sull’architettura delle autorità nazionali competenti ai fini dell’AI Act. Si segnala altresì, per gli acquisti delle amministrazioni e degli enti del Servizio sanitario nazionale, la rilevanza del decreto legislativo 36/2023, il cui articolo 30 disciplina l’uso di procedure automatizzate nel ciclo di vita dei contratti pubblici e il cui impianto generale sui criteri di aggiudicazione e sui requisiti di esecuzione offre la base giuridica per tradurre in criteri di gara le esigenze di sicurezza qui discusse.

Va infine menzionato, con riferimento allo scenario della documentazione clinica generata in modo ambientale mediante registrazione delle consultazioni, l’articolo 4 della legge 300/1970, nella misura in cui strumenti di registrazione continua all’interno di ambulatori possano determinare, anche solo in via indiretta, un controllo a distanza dell’attività del personale sanitario dipendente. Si ritiene che il profilo giuslavoristico sia frequentemente sottovalutato nella valutazione di tali soluzioni.

L’architettura proposta: strato strategico e fasi di pianificazione, selezione e gestione

Si possono articolare le misure secondo uno strato generale e tre fasi, già suggerito in contributi internazionali (AI&Partners: Procurement guidelines for AI cybersecurity within healthcare) assegnando a ciascuna misura un codice identificativo. L’impostazione riprende modelli consolidati di procurement e vi innesta le specificità dell’IA. Conviene esaminarne i contenuti nella prospettiva della loro traducibilità giuridica.

Lo strato strategico comprende l’adozione di una strategia e di una governance che incorporino il rischio IA fra i requisiti di ogni decisione di acquisto, eventualmente allineate a un sistema di gestione dell’intelligenza artificiale secondo la norma ISO/IEC 42001; l’allocazione di risorse finanziarie e di competenze specifiche; il mantenimento di un inventario aggiornato dei sistemi, dei modelli e dei fornitori, definito “AI bill of materials”; l’identificazione e la remediation delle vulnerabilità specifiche mediante threat intelligence e test antagonistici; la governance degli aggiornamenti e del riaddestramento, con monitoraggio della deriva; un’architettura sicura che isoli i sistemi di IA e controlli l’accesso a modelli, dati di addestramento ed endpoint di inferenza; la continuità delle funzioni cliniche dipendenti dall’IA con ricaduta sicura su flussi di lavoro non assistiti; la registrazione e il monitoraggio continui di input, output e comportamento; la tutela di riservatezza, integrità e disponibilità dei dati utilizzati e derivati, inclusi prompt, output ed embedding; l’alfabetizzazione del personale, con specifico riguardo al bias di automazione; la valutazione dell’efficacia delle misure.

Diverse di queste voci non sono raccomandazioni di buona pratica ma riformulazioni operative di obblighi legali. L’inventario dei sistemi corrisponde, nella sostanza, a quanto necessario per adempiere l’articolo 30 del GDPR quanto ai trattamenti e l’articolo 21 della NIS2 quanto agli asset; l’alfabetizzazione corrisponde all’articolo 4 dell’AI Act; la registrazione degli eventi corrisponde agli articoli 12 e 26, paragrafo 6, dell’AI Act; la continuità operativa corrisponde all’articolo 21, paragrafo 2, lettera c), della NIS2 e all’articolo 32, paragrafo 1, lettera b), del GDPR.

La fase di pianificazione concerne l’identificazione dei rischi — di sicurezza, di sicurezza clinica e per i diritti fondamentali — la determinazione della qualificazione giuridica del sistema prima dell’avvio della procedura, l’adozione di una politica di sicurezza della catena di fornitura estesa a modelli, dataset, componenti preaddestrati e servizi di terzi, la definizione dei requisiti di sicurezza nella documentazione di gara, la predisposizione di clausole contrattuali specifiche, l’inserimento di clausole dedicate ove l’IA sia erogata come servizio cloud o tramite interfaccia applicativa, e il coinvolgimento trasversale delle funzioni interne.

La fase di selezione concerne la preferenza per fornitori che dimostrino una postura certificata o valutata indipendentemente, l’esecuzione della valutazione d’impatto sulla protezione dei dati e, ove pertinente, sui diritti fondamentali, la verifica effettiva — e non meramente dichiarativa — dei requisiti tecnici, l’approvvigionamento dei modelli attraverso canali autorizzati con verifica di provenienza e integrità, la richiesta di un ciclo di sviluppo sicuro e la trasparenza sui componenti di terzi e open source.

La fase di gestione concerne l’obbligo contrattuale di remediation delle vulnerabilità e dei difetti di modello lungo il ciclo di vita, il mantenimento dell’inventario con versioni e modifiche sostanziali, la notifica degli incidenti coerente con AI Act, NIS2 e MDR/IVDR, il miglioramento continuo con monitoraggio della deriva e delle attività antagonistiche, e le procedure di dismissione sicura comprensive della cancellazione di modelli, prompt, output, embedding e dataset di messa a punto.

I rischi specifici dell’intelligenza artificiale e la loro rilevanza giuridica

Le guide lines esaminate enumerano le minacce proprie dei sistemi di IA. Conviene riprenderle definendole in modo incrementale e indicandone la rilevanza sul piano della conformità.

L’avvelenamento dei dati consiste nella manipolazione dei dati di addestramento o di messa a punto al fine di corrompere il comportamento del modello. In sostanza, l’attaccante non violenta il sistema in esercizio, ma ne contamina a monte la fonte di apprendimento, inducendolo a classificare erroneamente determinati input. In termini più pragmatici: un modello diagnostico addestrato su un dataset contaminato può sistematicamente omettere il riconoscimento di un reperto in presenza di un determinato marcatore, senza che alcun controllo di sicurezza perimetrale possa rilevarlo. La rilevanza giuridica è immediata, poiché l’articolo 15, paragrafo 5, dell’AI Act menziona espressamente tale minaccia e l’articolo 10 impone presidi sulla qualità dei dati.

Gli esempi antagonistici, o evasione, consistono in input appositamente costruiti per indurre output errati in fase di inferenza — ad esempio perturbazioni impercettibili di un’immagine diagnostica. Anche qui la norma tipizza la minaccia.

L’inversione del modello e l’inferenza di appartenenza consistono, rispettivamente, nella ricostruzione di dati di addestramento a partire dal modello e nella determinazione del fatto che i dati di un determinato paziente siano stati utilizzati per l’addestramento. Si tratta di attacchi che producono, con elevata probabilità, una violazione di dati personali rilevante ai sensi degli articoli 33 e 34 del GDPR, con il profilo aggravante dell’appartenenza alle categorie particolari.

Il furto del modello o dei pesi comporta l’appropriazione di un asset e, inoltre, la possibilità di rimuovere le salvaguardie incorporate. L’iniezione di prompt e il jailbreaking riguardano i sistemi generativi e consistono nella manipolazione del comportamento del modello mediante input appositamente costruiti, eventualmente nascosti all’interno dei documenti che il modello elabora. La catena di fornitura insicura riguarda la difficoltà di verificare provenienza, integrità e sicurezza di modelli preaddestrati, dataset di terzi e librerie open source. La deriva del modello consiste nel degrado progressivo delle prestazioni al mutare della pratica clinica, delle popolazioni o delle distribuzioni dei dati. Il bias di automazione, l’opacità e l’allucinazione concernono infine la dimensione umana: l’eccessivo affidamento sull’output, aggravato dalla limitata spiegabilità e, nei sistemi generativi, dalla produzione di contenuti plausibili ma errati.

Su quest’ultimo punto si ritiene di dover insistere. La traduzione di un difetto tecnico in un danno clinico passa, quasi sempre, attraverso un comportamento umano: il clinico che accetta un output senza verifica. Di conseguenza, le misure di sorveglianza umana di cui all’articolo 14 dell’AI Act non sono efficaci se concepite come mera previsione formale di un “uomo nel circuito”: occorre che la persona incaricata disponga del tempo, delle informazioni e dell’autorità per discostarsi dall’output, e che l’organizzazione non abbia costruito indicatori di performance che penalizzino tale scostamento.

Profili critici dell’impostazione proposta

Pur apprezzandosi l’utilità sistematica del documento, si ritiene che alcuni profili meritino un vaglio critico.

Il primo attiene al rapporto fra logica di procurement e natura adattiva dei sistemi. Il procurement è, per sua struttura, un atto istantaneo che fotografa un oggetto in un dato momento; i sistemi di IA — in particolare quelli basati su modelli di base accessibili tramite interfaccia applicativa — mutano continuamente, talora per decisione unilaterale del fornitore del modello sottostante, soggetto con il quale il committente non ha alcun rapporto contrattuale. Le guide lines esaminate affrontano il problema richiedendo la comunicazione preventiva delle modifiche sostanziali e qualificando l’omessa comunicazione come inadempimento. Appare chiaro allo scrivente che si tratti del presidio corretto sul piano giuridico, ma che la sua efficacia pratica dipenda da un fattore esterno al contratto: la capacità del fornitore intermedio di ottenere, a sua volta, tale informazione dal fornitore del modello. Si suggerisce pertanto di richiedere non soltanto l’obbligo di comunicazione, ma l’evidenza documentale che tale obbligo sia stato trasferito a monte nella catena, secondo una logica di flow-down coerente con l’articolo 28, paragrafo 4, del GDPR quanto ai sub-responsabili.

Il secondo profilo attiene all’asimmetria informativa e al potere negoziale. Le clausole proposte — divieto di utilizzo dei dati del cliente per l’addestramento salva autorizzazione espressa, localizzazione del trattamento in giurisdizioni determinate, restituzione e cancellazione verificabile di input, output, log, embedding e dataset di messa a punto, notifica tempestiva delle vulnerabilità — sono tecnicamente ineccepibili. Tuttavia, la loro negoziabilità è inversamente proporzionale alla standardizzazione dell’offerta: un grande ospedale che acquisisce una soluzione su misura può imporle; una struttura di piccole dimensioni che sottoscrive condizioni generali di un servizio cloud internazionale difficilmente vi riuscirà. Le guide lines dimostrano consapevolezza del problema, poiché articolano il presidio su due livelli e dedicano uno scenario specifico allo studio medico di base. Si ritiene nondimeno che occorra una riflessione ulteriore, di ordine sistemico: nella misura in cui le strutture minori non dispongono di potere negoziale, la via realistica non è il contratto individuale ma l’aggregazione della domanda, mediante centrali di committenza e capitolati-tipo, ovvero la disponibilità di condizioni contrattuali standard elaborate a livello istituzionale. Non si ha evidenza, allo stato, di capitolati-tipo nazionali dedicati specificamente alla cybersicurezza dei sistemi di IA sanitari.

Il terzo profilo attiene alla verificabilità dell’evidenza. Le guide lines raccomandano di verificare i requisiti tecnici in sede di selezione, anziché affidarsi alle dichiarazioni del fornitore, e di commissionare ove possibile test indipendenti su input rappresentativi e antagonistici. Si tratta di un’indicazione metodologicamente corretta che tuttavia presuppone competenze — ingegneria clinica, fisica sanitaria, sicurezza del machine learning — non diffusamente presenti nelle strutture sanitarie. Il rischio concreto, secondo il parere di chi scrive, è che la verifica si risolva nel riscontro formale del possesso di certificazioni, con un effetto di spostamento della fiducia dal fornitore all’organismo di certificazione che non equivale a una verifica sostanziale. La certificazione secondo la norma ISO/IEC 42001 attesta l’esistenza di un sistema di gestione, non la robustezza di uno specifico modello rispetto a specifiche minacce; analogamente, la marcatura CE attesta la conformità ai requisiti applicabili al momento della valutazione, non l’assenza di deriva successiva.

Il quarto profilo attiene al coordinamento fra i canali di notifica, già accennato. Si ritiene auspicabile che, in sede di contratto, si definisca un’unica nozione convenzionale di “evento rilevante” a carico del fornitore, più ampia di ciascuna delle nozioni legali, con obbligo di comunicazione immediata e onere a carico del committente di qualificare l’evento ai fini delle singole discipline. Diversamente, il fornitore tenderà a notificare soltanto ciò che ritiene rientrante nella propria valutazione di rilevanza, privando il committente della possibilità di rispettare il termine di ventiquattro ore per il preallarme NIS2.

Il quinto profilo, infine, attiene alla distinzione — proposta nelle guide lines esaminate — fra misure raccomandate e misure “nice-to-have”, fra le quali queste ultime includono gli audit algoritmici indipendenti, gli strumenti di spiegabilità e il monitoraggio continuo della deriva. Si ritiene che la collocazione del monitoraggio della deriva fra le misure facoltative sia, quantomeno per i sistemi che incidono su decisioni cliniche, difficilmente sostenibile sul piano giuridico: l’articolo 26, paragrafo 5, dell’AI Act impone al deployer di monitorare il funzionamento del sistema sulla base delle istruzioni per l’uso e di informare il fornitore quando ritenga che l’uso possa comportare un rischio; il MDR impone la sorveglianza post-commercializzazione. In assenza di monitoraggio delle prestazioni, tali obblighi risultano, a giudizio dello scrivente, non adempibili.

Gli scenari applicativi come metodo

Le guide lines in commento illustrano tre scenari: un sistema di triage radiologico acquisito da un grande ospedale, un servizio generativo di documentazione clinica ambientale acquisito da un centro medico privato e un chatbot amministrativo preconfezionato acquisito da uno studio di medicina generale. Il metodo è apprezzabile perché mostra la graduazione delle misure in funzione della criticità e delle risorse.

Dal primo scenario si trae la conferma che, per i sistemi che incidono sulla priorità di refertazione, il presidio essenziale non è perimetrale bensì clinico: la verifica della sensibilità e specificità reali rispetto agli esiti clinici, e non rispetto ai soli benchmark del fornitore; la stratificazione delle metriche di accuratezza per sottogruppi di pazienti; la registrazione dei casi segnalati, dei punteggi di confidenza e delle sovrascritture da parte del radiologo. Quest’ultimo dato merita attenzione: il tasso di sovrascrittura è, al tempo stesso, un indicatore di qualità del modello e un indicatore di effettività della sorveglianza umana. Un tasso prossimo allo zero può segnalare eccellenza del modello oppure bias di automazione, e la distinzione fra le due ipotesi richiede un’analisi clinica.

Dal secondo scenario si traggono i profili più delicati sul piano della protezione dei dati: il trattamento di audio di consultazione costituisce trattamento di dati relativi alla salute e, verosimilmente, di dati di terzi menzionati nel corso del colloquio; la trasmissione a un fornitore di modello di base ospitato all’estero attiva la disciplina dei trasferimenti di cui al Capo V del GDPR; la firma obbligatoria del medico prima dell’archiviazione della nota costituisce la misura di sorveglianza umana essenziale. Si aggiunge il già richiamato profilo di cui all’articolo 4 della legge 300/1970 e, non da ultimo, la necessità di informare il paziente e di disciplinare la base giuridica della registrazione.

Dal terzo scenario si trae una lezione di proporzionalità: per un chatbot amministrativo che non accede a sistemi clinici, le misure si riducono alla verifica del perimetro funzionale, al divieto di riuso dei dati conversazionali, alla disponibilità di un canale alternativo e alla verifica periodica delle risposte. Si ritiene tuttavia che un presidio non debba mai mancare, nemmeno nelle realtà minime: la delimitazione contrattuale e tecnica dell’ambito funzionale, affinché lo strumento non fornisca indicazioni assimilabili a consigli clinici. Un chatbot che, interrogato su un sintomo, formuli una risposta orientativa può collocarsi, a seconda della finalità dichiarata, nell’ambito di applicazione della normativa sui dispositivi medici, con conseguenze qualificatorie che lo studio acquirente non è in grado di gestire.

Adempimenti operativi per il DPO e per le strutture sanitarie

Sul piano pratico, il primo adempimento da collocare temporalmente è la qualificazione giuridica preventiva del sistema, da effettuarsi prima della redazione degli atti di gara e non dopo l’aggiudicazione: occorre stabilire se l’applicativo sia dispositivo medico o componente di sicurezza di un dispositivo, se sia sistema di IA ad alto rischio ai sensi dell’articolo 6 del Regolamento (UE) 2024/1689 e in forza di quale allegato, se il fornitore operi come responsabile del trattamento ai sensi dell’articolo 28 del GDPR oppure come titolare autonomo, e se il servizio rientri nel perimetro della catena di fornitura rilevante ai fini del decreto legislativo 138/2024. Da tale qualificazione discende l’intero impianto documentale esigibile, sicché un errore in questa fase si propaga a tutte le successive; si suggerisce di formalizzare l’esito in un documento sottoscritto congiuntamente dalla funzione tecnica, dal DPO e dalla funzione legale.

Discende da ciò la mappatura dei requisiti nel capitolato, che consiste nel tradurre gli obblighi di legge in specifiche tecniche verificabili e, ove l’ente operi in regime di contrattualistica pubblica, in requisiti di partecipazione, criteri di valutazione dell’offerta tecnica o clausole di esecuzione a seconda della loro natura. In termini più pragmatici, la richiesta di documentazione sul modello — finalità prevista, limitazioni note, metriche di prestazione con indicazione delle popolazioni su cui sono state stabilite, provenienza dei dati di addestramento — si presta a costituire criterio di valutazione qualitativa; l’obbligo di notifica delle vulnerabilità entro un termine definito si presta a costituire clausola di esecuzione presidiata da penali; il possesso di certificazioni di sistema di gestione si presta, con le cautele sopra illustrate, a costituire elemento premiale ma non requisito escludente, per non restringere indebitamente la concorrenza.

Strettamente connessa è la definizione contrattuale della disciplina dei dati, che deve coprire quattro profili distinti e spesso confusi fra loro: l’utilizzo dei dati del committente per l’addestramento o il miglioramento dei modelli, che si suggerisce di vietare salva autorizzazione scritta e specifica preceduta da autonoma valutazione; la localizzazione del trattamento, con indicazione delle giurisdizioni ammesse per prompt, file caricati, output e dati derivati; la catena dei sub-responsabili, con obbligo di autorizzazione preventiva e comunicazione delle variazioni; la restituzione e cancellazione al termine del rapporto, che deve menzionare espressamente non soltanto i dati di input ma anche gli output generati, i log, gli embedding e gli eventuali dataset di messa a punto, con rilascio di attestazione di avvenuta cancellazione. Si osserva che l’omessa menzione degli embedding e dei dataset di messa a punto costituisce una lacuna ricorrente nei contratti esaminabili nella prassi, e che tale lacuna rende la cancellazione sostanzialmente inefficace.

Occorre poi presidiare la valutazione d’impatto, da avviarsi in fase di selezione e non in fase di collaudo, estesa — ove ricorrano i presupposti dell’articolo 27 dell’AI Act o comunque in via prudenziale per i sistemi che incidono su percorsi assistenziali — ai diritti fondamentali. Si suggerisce che la valutazione non si limiti alla mappatura dei flussi, ma affronti espressamente il rischio di prestazioni differenziate fra sottogruppi di pazienti, il rischio di contenuti clinici erronei o fabbricati nei sistemi generativi e il rischio di eccessivo affidamento da parte del personale, traducendo gli esiti in requisiti verificabili quali l’esposizione dei punteggi di confidenza, la revisione umana obbligatoria o la limitazione delle decisioni interamente automatizzate.

Sul piano organizzativo, si ritiene indispensabile la costituzione di un presidio interfunzionale stabile, che associ ingegneria clinica, sicurezza informatica, funzione clinica di riferimento, DPO e funzione legale, con tracciamento documentale degli apporti e del benestare clinico: tale tracciamento non ha finalità burocratiche, bensì costituisce l’evidenza di accountability spendibile tanto davanti all’autorità di controllo per la protezione dei dati quanto in sede di verifica NIS2 o di sorveglianza post-commercializzazione. Il DPO, va precisato, partecipa in posizione consultiva e di sorveglianza ai sensi dell’articolo 39 del GDPR e non assume responsabilità decisionali sull’acquisto: si suggerisce di esplicitare tale confine nel regolamento interno del presidio, per evitare conflitti con il requisito di indipendenza di cui all’articolo 38, paragrafo 3.

Quanto alla fase di esercizio, il presidio centrale è il monitoraggio delle prestazioni e della deriva, che richiede la definizione preventiva di soglie di accettabilità e delle azioni conseguenti al loro superamento — dalla sospensione della funzionalità al ritorno al flusso manuale — e che presuppone l’esistenza, contrattualmente garantita, di capacità di registrazione adeguate. A esso si affianca la gestione delle modifiche di modello, che impone di integrare gli aggiornamenti e i riaddestramenti del fornitore nelle procedure interne di change management e di gestione del rischio clinico, con test di regressione rispetto a parametri di sicurezza clinica prima della messa in produzione: appare chiaro allo scrivente che un aggiornamento di modello non possa essere trattato alla stregua di una patch di sicurezza di un applicativo tradizionale, poiché ne muta il comportamento statistico e non soltanto la superficie di attacco.

Va inoltre predisposto il raccordo delle notifiche, mediante l’adozione di una procedura interna che, a fronte di un evento comunicato dal fornitore o rilevato internamente, attivi contestualmente la valutazione ai fini dell’articolo 33 del GDPR, dell’articolo 23 della NIS2 come recepito dal decreto legislativo 138/2024, dell’articolo 73 dell’AI Act e della vigilanza sui dispositivi medici, con responsabilità e termini assegnati nominativamente. L’esperienza applicativa dei sistemi di gestione suggerisce che la causa più frequente del mancato rispetto dei termini non sia l’ignoranza della norma, bensì l’assenza di un soggetto individuato cui spetti la qualificazione dell’evento nelle prime ore.

Occorre altresì mantenere l’inventario dei sistemi e dei modelli, che deve registrare per ciascun sistema la finalità prevista, il fornitore del modello o del servizio, il modello di distribuzione, le interfacce applicative, le categorie di dati trattati, i sub-responsabili, le misure di sorveglianza umana, le modalità di ricaduta e la versione in esercizio con la cronologia delle modifiche sostanziali. Si sottolinea la necessità di censire anche le funzionalità di IA incorporate all’interno di prodotti acquisiti per altra finalità — moduli predittivi all’interno di una cartella clinica elettronica, assistenti generativi all’interno di una piattaforma collaborativa, strumenti di IA utilizzati dal fornitore nell’erogazione di servizi professionali — poiché proprio tali funzionalità sfuggono con maggiore frequenza alla ricognizione.

Si raccomanda infine la formazione differenziata, che per il personale clinico deve concentrarsi sui limiti dichiarati dello strumento, sul bias di automazione e sulle modalità di documentazione del disaccordo con l’output; per il personale tecnico, sulle minacce specifiche e sulla gestione degli endpoint di inferenza; per il personale che redige e gestisce i contratti, sulla capacità di leggere e valutare l’evidenza di conformità prodotta dai fornitori. Tale ultimo profilo è, secondo il parere di chi scrive, il più trascurato: la qualità del capitolato dipende dalla competenza di chi lo scrive, e nessuna clausola, per quanto ben redatta, supplisce all’incapacità di valutare la risposta ricevuta. Non da ultimo, si suggerisce di predisporre e di collaudare periodicamente le procedure di ricaduta sui flussi di lavoro non assistiti dall’IA, verificando che il personale sappia operare in assenza del sistema: una continuità operativa documentata ma mai provata non fornisce evidenza di effettiva operatività.

Conclusioni

Il documento esaminato si colloca in una produzione di indirizzo che non ha natura vincolante e che, dichiaratamente, mappa le prassi senza qualificarne alcuna come ottimale. Tale cautela metodologica è condivisibile, in una materia nella quale gli strumenti di valutazione della robustezza dei modelli sono ancora in fase di maturazione e nella quale le norme tecniche armonizzate destinate a sostenere la presunzione di conformità all’articolo 15 dell’AI Act non risultano, allo stato, disponibili in forma definitiva. Non si ha evidenza, allo stato, di uno standard consolidato per la misurazione della robustezza antagonistica dei modelli diagnostici, e tale assenza si riverbera direttamente sulla verificabilità dei requisiti che il committente può esigere.

Restano aperte, a giudizio dello scrivente, alcune questioni specifiche. La prima concerne il riparto di responsabilità lungo la catena fra fornitore del sistema, fornitore del modello di base e struttura sanitaria deployer, in particolare quando il mutamento del modello sottostante avviene per decisione di un soggetto estraneo al rapporto contrattuale: la disciplina europea offre strumenti qualificatori, ma la loro applicazione a catene con tre o più livelli richiederà un affinamento interpretativo che potrà venire tanto dalla Commissione quanto dalle autorità nazionali.

La seconda concerne la sostenibilità del modello per le strutture di minori dimensioni. Si ritiene che l’approccio graduato proposto dal documento sia corretto, ma che esso debba essere sorretto da strumenti collettivi — capitolati-tipo, condizioni standard, qualificazione preventiva dei fornitori — in assenza dei quali il divario fra grandi aziende sanitarie e piccole strutture è destinato ad ampliarsi, con effetti sul livello complessivo di sicurezza del sistema sanitario.

La terza concerne la governance degli aggiornamenti dei sistemi di IA incorporati in dispositivi medici, laddove il riaddestramento può integrare o meno una modifica sostanziale rilevante ai fini della valutazione di conformità: la questione, nota da tempo, assume maggiore rilievo con l’entrata a regime dei requisiti dell’AI Act per i sistemi ad alto rischio di cui all’allegato I, le cui scansioni applicative sono differite rispetto al grosso del Regolamento.

La quarta, infine, concerne la posizione del professionista sanitario. Nella misura in cui l’ordinamento interno riafferma la riserva della decisione clinica in capo al medico, la sorveglianza umana cessa di essere un requisito di prodotto e diventa un presupposto di legittimità dell’atto sanitario; di conseguenza, la progettazione dei flussi di lavoro — il tempo disponibile per la verifica, le informazioni esposte a supporto, la tracciabilità del dissenso — assume rilevanza giuridica propria. Si ritiene che il procurement possa e debba farsi carico anche di questo profilo, esigendo dai fornitori non soltanto la dimostrazione che il sistema sia sicuro, ma la dimostrazione che esso sia utilizzabile in modo consapevole da chi dovrà risponderne.

Riferimenti normativi

• AI&Partners: Procurement guidelines for AI cybersecurity within healthcare
• Regolamento (UE) 2016/679 (GDPR)
• Regolamento (UE) 2017/745 (MDR)
• Regolamento (UE) 2017/746 (IVDR)
• Direttiva (UE) 2022/2555 (NIS2)
• Regolamento (UE) 2024/1689 (AI Act)
• Regolamento (UE) 2024/2847 (Cyber Resilience Act)
• Regolamento (UE) 2025/327 (EHDS)
• legge 20 maggio 1970, n. 300
• decreto legislativo 30 giugno 2003, n. 196
• decreto legislativo 10 agosto 2018, n. 101
• decreto legislativo 31 marzo 2023, n. 36
• decreto legislativo 4 settembre 2024, n. 138
• legge 23 settembre 2025, n. 132
• Provvedimento del Garante per la protezione dei dati personali 11 ottobre 2018, n. 467
• Linee guida del Gruppo di lavoro Articolo 29 WP248 rev.01 in materia di valutazione d’impatto sulla protezione dei dati
• ISO/IEC 42001
• ISO/IEC 27001
• ISO/IEC 23894
• IEC 62304
• IEC 81001-5-1

L'articolo Acquistare intelligenza artificiale in sanità in condizioni di sicurezza: le linee guida di procurement per la cybersecurity dell’IA sanitaria alla prova dell’AI Act, della NIS2 e del GDPR proviene da 01magazine.

Con il provvedimento n. 636 del 23 settembre 2026 il Garante per la protezione dei dati personali ha sanzionato con quattromila euro il Comune di Arvier, ente valdostano di circa ottocento abitanti, per una pluralità di irregolarità nella gestione dell’impianto di videosorveglianza urbana: assenza di una base giuridica puntuale rispetto alle molteplici finalità perseguite, inquadratura di finestre, balconi e portefinestre di un’abitazione privata, informativa resa con cartellonistica generica, valutazione d’impatto insufficiente. L’atto si colloca nel solco degli articoli 5, 6, 12, 13, 25 e 35 del Regolamento (UE) 2016/679 e delle Linee guida EDPB 3/2019 sul trattamento di dati personali attraverso dispositivi video. Si sostiene in questa sede che il nucleo dell’orientamento non risieda nella misura pecuniaria — contenuta — bensì nella qualificazione del “privacy masking” applicato solo a istruttoria avviata come rimedio tardivo, inidoneo a sanare la violazione dell’obbligo di protezione dei dati fin dalla progettazione. Ne discendono indicazioni operative immediate per ogni titolare, pubblico o privato, che gestisca impianti stratificati nel tempo.

Premessa

In premessa va detto che la videosorveglianza urbana rappresenta, nella casistica del Garante, uno degli ambiti a più alta ricorrenza di provvedimenti correttivi e sanzionatori, e ciò per ragioni strutturali prima ancora che per negligenza dei singoli enti. Trattasi, per l’appunto, di sistemi che nascono spesso in epoca anteriore all’applicazione del Regolamento (UE) 2016/679 — nel caso di specie, secondo quanto riportato dalla fonte, l’impianto risale al biennio 2011-2012 — e che vengono successivamente ampliati per aggiunte incrementali, telecamera dopo telecamera, finalità dopo finalità, senza che a ciascun ampliamento corrisponda una rivalutazione complessiva dell’architettura di conformità.

Il perimetro dell’analisi che segue è dunque duplice. Da un lato si esamina il provvedimento n. 636 del 23 settembre 2026 nei suoi profili di diritto positivo: quale base giuridica sorregge il trattamento videosorvegliante di un ente locale, quali obblighi informativi gravano sul titolare che opera in spazi pubblici aperti, quando la valutazione d’impatto è dovuta e quale contenuto minimo deve avere. Dall’altro lato si estraggono dal caso concreto le implicazioni di sistema per una platea più ampia di quella dei soli comuni: l’inquadratura che eccede il necessario, il rimedio tecnico adottato in corso di istruttoria, la stratificazione documentale di impianti ereditati sono problemi che si presentano identici nel condominio, nello stabilimento industriale, nella struttura sanitaria, nella rete commerciale distribuita sul territorio.

L’ancoraggio normativo è quello ordinario. Rilevano in primo luogo i principi dell’articolo 5 del Regolamento, con particolare riguardo alla liceità, alla limitazione della finalità, alla minimizzazione e alla responsabilizzazione; l’articolo 6, paragrafo 1, lettera e), e paragrafo 3, per la base giuridica del trattamento necessario all’esecuzione di un compito di interesse pubblico; gli articoli 12 e 13 per la trasparenza; l’articolo 25 per la protezione dei dati fin dalla progettazione e per impostazione predefinita; l’articolo 35 per la valutazione d’impatto. Sul piano interno vengono in considerazione il decreto legislativo 196/2003 come novellato dal decreto legislativo 101/2018 e, per i profili di sicurezza urbana, il decreto-legge 14/2017 convertito dalla legge 48/2017. Sul piano interpretativo il riferimento obbligato restano le Linee guida 3/2019 dell’European Data Protection Board sul trattamento dei dati personali attraverso dispositivi video, oltre al provvedimento generale del Garante in materia di videosorveglianza dell’8 aprile 2010, tuttora utile quanto all’impianto metodologico pur nelle parti superate dal sopravvenuto Regolamento.

I fatti accertati e la struttura del provvedimento

il procedimento origina dal reclamo di una cittadina che lamentava la presenza di una telecamera comunale il cui angolo di ripresa includeva la propria abitazione. L’istruttoria dell’Autorità, muovendo da una contestazione puntuale e circoscritta, si è poi estesa all’intero assetto del sistema, secondo una dinamica ricorrente: il reclamo individuale funge da innesco, ma l’accertamento investe l’organizzazione del trattamento nel suo complesso.

Dagli accertamenti è emerso che l’impianto, attivo dal 2011-2012 e successivamente ampliato, veniva utilizzato per una pluralità di finalità eterogenee — controllo della viabilità e dei parcheggi, lettura delle targhe, tutela ambientale, protezione civile — senza che il Comune avesse individuato una chiara e adeguata base giuridica. Una delle telecamere riprendeva la facciata dell’abitazione della reclamante, comprese finestre, balconi e portefinestre. Tale ripresa è stata ritenuta dall’Autorità non necessaria rispetto alle finalità dichiarate e produttiva di un’ingerenza sproporzionata nella sfera privata.

Rileva in modo particolare, ai fini dell’analisi, un passaggio ulteriore: il Comune, dopo l’avvio dell’istruttoria, ha adottato una soluzione tecnica di “privacy masking” per oscurare la porzione di immagine relativa all’abitazione. L’Autorità ha ritenuto tale accorgimento insufficiente, osservando che esso avrebbe dovuto essere previsto e applicato fin dalla progettazione e dalla prima configurazione del sistema.

Ulteriori criticità sono state rilevate sul versante della trasparenza: i cartelli informativi posizionati sul territorio facevano riferimento in maniera generica a finalità di “sicurezza”, senza fornire le informazioni previste dal Regolamento. Insufficiente è stata giudicata anche la valutazione d’impatto redatta dall’ente.

La risposta sanzionatoria si è attestata su quattromila euro, accompagnata da un articolato complesso di misure correttive: ricognizione di tutte le telecamere presenti sul territorio, individuazione precisa delle finalità e delle rispettive basi giuridiche, verifica e correzione degli angoli di ripresa con esclusione delle abitazioni private e adozione, ove necessario, di sistemi di mascheramento o oscuramento, elaborazione di una completa valutazione d’impatto, aggiornamento e riformulazione delle informative ai cittadini.

Appare chiaro allo scrivente che il baricentro del provvedimento non sia la misura pecuniaria — contenuta, e coerente con la dimensione demografica e finanziaria di un ente di ottocento abitanti — bensì proprio il programma di rimedi imposto, che equivale nella sostanza a una rifondazione dell’intero impianto documentale e tecnico del sistema.

Il quadro normativo di riferimento

La disciplina europea: principi, base giuridica, progettazione

Il punto di partenza è la qualificazione della videosorveglianza come trattamento di dati personali. La nozione non è intuitiva per tutti gli operatori e merita di essere ricostruita per gradi. L’articolo 4, punto 1, del Regolamento definisce “dato personale” qualsiasi informazione riguardante una persona fisica identificata o identificabile. L’immagine di un individuo ripresa da una telecamera, quando consenta — anche indirettamente, anche mediante il ricorso a informazioni ulteriori ragionevolmente disponibili — di risalire alla sua identità, integra pienamente la nozione. In sostanza, non occorre che il volto sia nitido o che il soggetto sia già noto: è sufficiente che l’identificazione sia possibile con mezzi ragionevoli. In termini più pragmatici, una telecamera puntata su una strada di un comune di ottocento abitanti identifica di fatto chiunque vi transiti, perché la comunità è tale che il riconoscimento è immediato anche a partire da elementi minimi — l’andatura, l’abbigliamento ricorrente, il veicolo.

Vi è un ulteriore passaggio. L’inquadratura di finestre e balconi di un’abitazione non riprende soltanto persone: riprende abitudini di vita, orari di presenza e di assenza, frequentazioni, talvolta elementi da cui si desumono convinzioni o condizioni di salute. Il Considerando 51 del Regolamento ricorda che i dati che per loro natura sono particolarmente sensibili sotto il profilo dei diritti e delle libertà fondamentali meritano una specifica protezione. Si ritiene che la ripresa continuativa di una soglia domestica, pur non essendo di per sé trattamento di categorie particolari ai sensi dell’articolo 9, si collochi in una zona di confine in cui il rischio di acquisizione incidentale di informazioni sensibili è tutt’altro che remoto.

Quanto alla base giuridica, il trattamento effettuato da un ente locale nell’esercizio di funzioni istituzionali si fonda tipicamente sull’articolo 6, paragrafo 1, lettera e), del Regolamento: il trattamento necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare. Qui però occorre massima precisione, perché la lettera e) non è una clausola in bianco. Il paragrafo 3 del medesimo articolo 6 stabilisce che la base del trattamento deve essere stabilita dal diritto dell’Unione o dal diritto dello Stato membro cui il titolare è soggetto. In sostanza, l’ente non può limitarsi a dichiarare di perseguire un interesse pubblico: deve indicare la norma — di rango legislativo o regolamentare, secondo le specificazioni dell’ordinamento interno — che gli attribuisce quel compito e che rende il trattamento necessario al suo assolvimento. In termini più pragmatici ancora: se la finalità è il controllo della viabilità, la base giuridica sarà rinvenibile nelle disposizioni del codice della strada e nelle attribuzioni comunali in materia; se la finalità è la tutela ambientale rispetto all’abbandono di rifiuti, la base sarà altra; se la finalità è la protezione civile, altra ancora. Ciascuna finalità reclama la propria base, la propria valutazione di necessità, la propria disciplina di conservazione.

È precisamente questo l’errore metodologico che il provvedimento sembra avere censurato. L’impianto comunale perseguiva quattro o più finalità eterogenee con un unico apparato indifferenziato, senza che a ciascuna corrispondesse una distinta architettura di legittimazione. Si ritiene che tale approccio — definibile come “finalità cumulativa indistinta” — costituisca una violazione non solo dell’articolo 6 ma anche, e forse prima ancora, del principio di limitazione della finalità di cui all’articolo 5, paragrafo 1, lettera b), che impone la raccolta per finalità determinate, esplicite e legittime.

Il principio di minimizzazione, sancito dall’articolo 5, paragrafo 1, lettera c), impone poi che i dati siano adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità. Nella videosorveglianza la minimizzazione ha una dimensione squisitamente geometrica: si traduce nell’angolo di ripresa. Una telecamera installata per sorvegliare un parcheggio e che inquadra anche la facciata di un’abitazione tratta, per quella porzione di campo visivo, dati eccedenti rispetto alla finalità. Non si tratta di un difetto estetico o di un fastidio soggettivo del vicino: si tratta, tecnicamente, di un trattamento privo di base di necessità e dunque illecito nella sua estensione ultronea.

L’articolo 25 introduce gli obblighi di protezione dei dati fin dalla progettazione e per impostazione predefinita. La disposizione richiede al titolare di mettere in atto misure tecniche e organizzative adeguate “sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso”. Il riferimento temporale non è accessorio. In sostanza, il legislatore europeo ha inteso spostare il momento della conformità a monte, nella fase di progettazione, proprio per evitare che la protezione dei dati si riduca a una correzione successiva all’emersione del problema. In termini più pragmatici: l’angolo di ripresa va deciso prima di fissare la staffa al muro, non dopo il reclamo del cittadino.

Le Linee guida EDPB 3/2019

Le Linee guida 3/2019 dell’European Data Protection Board costituiscono il riferimento interpretativo armonizzato in materia di dispositivi video. Per quanto di stretto interesse in questa sede, esse affrontano con particolare attenzione il tema delle riprese che eccedono il perimetro di pertinenza del titolare, raccomandando l’orientamento delle telecamere verso l’area effettivamente da proteggere e, dove ciò non sia tecnicamente possibile, il ricorso a strumenti di mascheramento delle porzioni di immagine non pertinenti.

Le medesime Linee guida dedicano ampio spazio alla trasparenza, articolando l’informativa in due livelli: un primo livello costituito dal cartello collocato in prossimità dell’area sorvegliata, che deve contenere le informazioni più rilevanti — l’esistenza della sorveglianza, l’identità del titolare, le finalità, i diritti dell’interessato, i contatti — e l’indicazione di dove reperire il secondo livello; un secondo livello costituito dall’informativa completa ai sensi dell’articolo 13, resa disponibile per mezzo agevolmente accessibile, tipicamente un sito web, un documento consultabile presso uno sportello, un codice a barre bidimensionale.

Il modello a due livelli risolve un problema pratico evidente: il cartello non può contenere l’intera informativa, perché sarebbe illeggibile; ma non può nemmeno ridursi a un pittogramma con la scritta “area videosorvegliata”, perché in tal caso non assolverebbe alcuna funzione informativa. Nel caso del Comune di Arvier, secondo quanto riportato, i cartelli recavano un riferimento generico a finalità di “sicurezza”: si ritiene che tale formulazione sia problematica sotto un duplice profilo. In primo luogo “sicurezza” è un’etichetta che non individua alcuna finalità determinata ed esplicita nel senso dell’articolo 5, paragrafo 1, lettera b), potendo ricomprendere tutto e il contrario di tutto. In secondo luogo, e soprattutto, essa non corrispondeva nemmeno alle finalità effettivamente dichiarate dall’ente in sede istruttoria — viabilità, parcheggi, lettura targhe, ambiente, protezione civile — generando così una divaricazione fra il trattamento dichiarato all’Autorità e quello rappresentato agli interessati.

Il quadro nazionale e la sicurezza urbana

Sul piano interno, il decreto legislativo 196/2003, come profondamente novellato dal decreto legislativo 101/2018, conserva la funzione di raccordo con il Regolamento e, per quanto qui rileva, disciplina all’articolo 2-ter le condizioni del trattamento effettuato per l’esecuzione di un compito di interesse pubblico da parte di soggetti pubblici, richiedendo che la base normativa sia costituita da una norma di legge o, nei casi previsti, di regolamento.

Vi è poi la disciplina specifica della sicurezza urbana. Il decreto-legge 14/2017, convertito con modificazioni dalla legge 48/2017, ha delineato un quadro di cooperazione fra Stato ed enti locali in materia di sicurezza integrata e sicurezza urbana, prevedendo anche forme di sostegno all’installazione di sistemi di videosorveglianza da parte dei comuni. Si ritiene opportuno segnalare, però, che l’esistenza di tale quadro non esime l’ente dall’individuazione puntuale della base giuridica per ciascuna finalità concretamente perseguita. In sostanza, il finanziamento pubblico di un impianto non costituisce di per sé base giuridica del trattamento: sono piani distinti, e la loro confusione rappresenta — secondo il parere di chi scrive — uno degli equivoci più diffusi nella prassi amministrativa locale.

Occorre inoltre ricordare che, ove la videosorveglianza comunale sia utilizzata per finalità di prevenzione, indagine, accertamento e perseguimento di reati, viene in rilievo non il Regolamento ma la disciplina di cui al decreto legislativo 51/2018, di attuazione della Direttiva (UE) 2016/680. La distinzione ha conseguenze rilevanti in termini di regime applicabile, di diritti esercitabili e di modalità di esercizio. Nella prassi gli impianti comunali sono frequentemente “misti”, nel senso che le medesime riprese possono essere destinate tanto a finalità amministrative quanto, su richiesta dell’autorità giudiziaria o di polizia, a finalità investigative. Non si ha evidenza, dalla fonte disponibile, che il provvedimento in esame abbia affrontato specificamente tale profilo; si ritiene nondimeno che la questione del regime applicabile debba essere risolta espressamente nella documentazione del titolare, perché da essa discendono differenze operative concrete.

L’analisi dei profili accertati

La base giuridica frammentata e la tentazione della finalità onnicomprensiva

La prima e più strutturale delle criticità accertate attiene, come visto, alla mancata individuazione di una base giuridica chiara e adeguata rispetto alle molteplici finalità perseguite. Merita soffermarsi su questo punto, perché esso rappresenta il difetto più frequente negli impianti di videosorveglianza pubblica e, mutatis mutandis, anche in molti impianti privati.

La dinamica è nota a chiunque abbia svolto attività di audit su sistemi stratificati. L’impianto nasce con una finalità determinata — poniamo, il controllo di un parcheggio soggetto ad atti vandalici. Negli anni successivi l’amministrazione, disponendo già dell’infrastruttura, vi aggiunge funzioni ulteriori: la lettura delle targhe per il controllo della copertura assicurativa, il monitoraggio di un’area ecologica per contrastare l’abbandono di rifiuti, l’osservazione di un corso d’acqua a fini di protezione civile. Ciascuna aggiunta, isolatamente considerata, appare ragionevole e sorretta da un interesse pubblico reale. Il problema è che l’aggregazione di finalità eterogenee su un medesimo apparato produce effetti che nessuna delle finalità singole giustificherebbe: tempi di conservazione allineati verso l’alto, accessi consentiti a una pluralità di uffici, assenza di segmentazione logica fra flussi destinati a scopi differenti.

Si ritiene che il metodo corretto sia quello della ricostruzione analitica per finalità. Per ciascun obiettivo perseguito occorre individuare la norma attributiva del compito, verificare la necessità del trattamento video rispetto a quel compito — e dunque l’assenza di misure meno invasive parimenti efficaci —, determinare il tempo di conservazione proporzionato, definire i soggetti autorizzati all’accesso e le condizioni di tale accesso. Dove le finalità divergano significativamente, la buona prassi suggerisce la segmentazione: telecamere o flussi distinti, con configurazioni e autorizzazioni differenziate.

La difficoltà operativa è evidente, soprattutto per enti di piccole dimensioni privi di strutture tecniche dedicate. Appare chiaro allo scrivente che un comune di ottocento abitanti non disponga delle risorse di una città metropolitana; e tuttavia il Regolamento non gradua gli obblighi in funzione della dimensione del titolare, se non nei limiti del criterio di adeguatezza al rischio. La dimensione rileva, semmai, nella commisurazione della sanzione — e in effetti si osserva che l’importo irrogato è stato assai contenuto — ma non nell’an della violazione.

L’angolo di ripresa: la minimizzazione come problema geometrico

Il secondo profilo attiene all’inquadratura di finestre, balconi e portefinestre dell’abitazione della reclamante. Il Garante ha ritenuto tale ripresa non necessaria per il perseguimento delle finalità dichiarate e costitutiva di un’ingerenza sproporzionata nella sfera privata.

La valutazione si muove lungo il consueto schema del test di proporzionalità, articolato in idoneità, necessità e proporzionalità in senso stretto. Il trattamento deve essere idoneo a raggiungere la finalità; deve essere necessario, nel senso che non devono esistere alternative meno invasive ugualmente efficaci; deve infine superare un bilanciamento fra il sacrificio imposto ai diritti dell’interessato e il beneficio conseguito. Nel caso di specie la ripresa della facciata abitativa non superava già il secondo gradino: nessuna delle finalità dichiarate — viabilità, parcheggi, targhe, ambiente, protezione civile — richiede l’inquadratura di una finestra o di un balcone.

Vi è di più. L’ingerenza nella sfera domestica non è un’ingerenza come le altre. Il domicilio gode di una tutela rafforzata nell’ordinamento costituzionale interno — l’articolo 14 della Costituzione — e in quello convenzionale, l’articolo 8 della Convenzione europea dei diritti dell’uomo, che protegge il rispetto della vita privata e familiare, del domicilio e della corrispondenza. La giurisprudenza di Strasburgo ha ripetutamente affermato che la sorveglianza sistematica di uno spazio privato da parte di un’autorità pubblica richiede una base legale particolarmente qualificata e un controllo stringente di proporzionalità. Si ritiene che tale cornice, pur non espressamente richiamata nella sintesi disponibile del provvedimento, costituisca lo sfondo assiologico della decisione.

Un aspetto che merita attenzione, e che spesso sfugge, riguarda la percezione dell’interessato. Anche a voler ipotizzare che le immagini della facciata non venissero mai visionate, la sola consapevolezza di essere potenzialmente ripresi mentre si affacciano alla propria finestra produce nei residenti un effetto di condizionamento comportamentale. La dottrina lo definisce “chilling effect”. In termini più concreti: il cittadino evita di uscire sul balcone in determinate condizioni, modifica le proprie abitudini, percepisce la propria casa come uno spazio non più integralmente sottratto allo sguardo pubblico. Questo effetto si produce a prescindere dall’effettiva visione delle immagini, e costituisce di per sé un pregiudizio rilevante ai fini del bilanciamento.

Il “privacy masking” tardivo e la portata dell’articolo 25

Il profilo di maggiore interesse sistematico è, a parere di chi scrive, il trattamento riservato dall’Autorità al mascheramento adottato in corso di istruttoria.

Conviene definire la nozione. Il “privacy masking” — talvolta reso in italiano come mascheramento o oscuramento selettivo — è una funzione disponibile sulla gran parte delle telecamere di rete di fascia professionale, che consente di definire una o più aree del campo visivo le cui immagini non vengono acquisite oppure vengono rese illeggibili mediante sovrapposizione di una campitura opaca o di un effetto di sfocatura. In sostanza, è lo strumento che permette di conciliare un’inquadratura tecnicamente necessaria con l’esclusione di porzioni di scena irrilevanti o eccedenti. In termini più pragmatici: la telecamera che sorveglia il parcheggio ma che, per ragioni di posizionamento, non può evitare di comprendere nel proprio cono visivo la facciata del palazzo retrostante, può essere configurata in modo che quella facciata risulti permanentemente oscurata.

Si tratta, dunque, dello strumento tipico di attuazione dell’articolo 25 nel contesto della videosorveglianza. Ed è proprio per questo che la sua adozione tardiva assume un significato particolare. L’Autorità, secondo quanto riportato, ha ritenuto il mascheramento insufficiente osservando che esso avrebbe dovuto essere previsto e applicato fin dalla progettazione e dalla prima configurazione del sistema.

L’affermazione merita di essere letta con precisione per evitare fraintendimenti. Non si sostiene che il mascheramento sopravvenuto sia inutile: esso evidentemente elimina il trattamento illecito pro futuro, ed è anzi una delle misure che l’ente è stato poi ordinato di adottare sistematicamente. Si sostiene, piuttosto, che esso non sana la violazione già consumata e non vale a escludere la responsabilità per il periodo in cui il trattamento eccedente ha avuto luogo. In sostanza, l’articolo 25 non è una norma programmatica che si considera rispettata quando, prima o poi, le misure vengono adottate: è un obbligo con una scansione temporale precisa, il cui inadempimento si perfeziona nel momento in cui il trattamento prende avvio senza le cautele richieste.

Vi è un corollario di rilievo pratico. Nella prassi difensiva è frequente che il titolare, ricevuta una richiesta di informazioni dall’Autorità, proceda rapidamente alla rimozione della criticità e rappresenti poi l’avvenuta regolarizzazione come circostanza esimente. La collaborazione con l’Autorità e le misure adottate per attenuare il danno rilevano effettivamente ai sensi dell’articolo 83, paragrafo 2, lettere c) e f), del Regolamento, ma come criteri di commisurazione della sanzione, non come cause di esclusione della violazione. Si ritiene che il provvedimento in esame confermi con chiarezza tale impostazione, e che l’importo contenuto della sanzione rifletta proprio il peso attenuante della condotta successiva.

Sul piano della prova, inoltre, l’adozione del mascheramento soltanto a istruttoria avviata costituisce un indizio non trascurabile della fattibilità tecnica della misura. In sostanza, se l’ente ha potuto configurare l’oscuramento in pochi giorni dopo il reclamo, ciò dimostra che nulla ne impediva l’adozione al momento dell’installazione. Viene così meno, per implicita autoconfutazione, l’eventuale argomento dell’impossibilità tecnica.

Trasparenza: il cartello che non informa

Il quarto profilo attiene all’informativa. I cartelli apposti sul territorio, secondo quanto riportato, richiamavano genericamente finalità di “sicurezza” senza fornire le informazioni previste dal Regolamento.

Gli articoli 12 e 13 del Regolamento costruiscono un obbligo informativo articolato. L’articolo 12, paragrafo 1, richiede che le informazioni siano fornite “in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro”. L’articolo 13 elenca i contenuti: identità e dati di contatto del titolare e, ove designato, del responsabile della protezione dei dati; finalità e base giuridica; eventuali destinatari; periodo di conservazione; diritti dell’interessato, incluso il diritto di proporre reclamo all’autorità di controllo.

Un cartello che si limiti a segnalare la presenza di telecamere per generiche ragioni di “sicurezza” non soddisfa alcuno di tali requisiti sostanziali, se non la mera segnalazione dell’esistenza del trattamento. Si ritiene peraltro che la genericità dell’indicazione della finalità sia un vizio autonomo e particolarmente grave, perché incide anche sulla possibilità per l’interessato di valutare la legittimità del trattamento e di esercitare consapevolmente i propri diritti. In termini più concreti: il cittadino che legga “area videosorvegliata per motivi di sicurezza” non è posto in condizione di sapere se le sue immagini vengano conservate per tre giorni o per sei mesi, se la sua targa venga letta e confrontata con banche dati, se le riprese vengano comunicate ad altri soggetti.

La soluzione, già indicata dalle Linee guida EDPB 3/2019, è il modello a due livelli di cui si è detto. Si suggerisce, per il primo livello, un cartello che indichi con chiarezza il titolare, le finalità effettive espresse in termini comprensibili, il riferimento al responsabile della protezione dei dati e le coordinate per accedere all’informativa estesa; per il secondo livello, un’informativa completa pubblicata sul sito istituzionale in sezione stabile e facilmente rintracciabile, eventualmente richiamata da un codice a barre bidimensionale apposto sul cartello stesso. Si osserva, incidentalmente, che il ricorso al solo codice bidimensionale presenta limiti di accessibilità per fasce di popolazione non dotate di dispositivi idonei o non avvezze al loro utilizzo: si ritiene pertanto preferibile affiancarvi sempre un riferimento testuale, quale l’indirizzo della pagina web e l’indicazione di un ufficio presso cui l’informativa è consultabile in forma cartacea.

La valutazione d’impatto insufficiente

Il quinto profilo attiene alla DPIA, giudicata insufficiente dall’Autorità.

L’articolo 35, paragrafo 1, del Regolamento impone la valutazione d’impatto quando un tipo di trattamento, considerati natura, oggetto, contesto e finalità, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche. Il paragrafo 3, lettera c), menziona espressamente, fra i casi in cui la valutazione è richiesta, “la sorveglianza sistematica su larga scala di una zona accessibile al pubblico”. La videosorveglianza urbana rientra pacificamente in tale ipotesi, salvo valutare caso per caso il requisito della larga scala — che tuttavia, nell’interpretazione corrente, non si misura solo in termini di numero assoluto di interessati ma anche in relazione all’estensione territoriale e alla durata del monitoraggio.

Il contenuto minimo è indicato dal paragrafo 7: una descrizione sistematica dei trattamenti previsti e delle finalità, compreso ove applicabile l’interesse legittimo perseguito; una valutazione della necessità e proporzionalità dei trattamenti in relazione alle finalità; una valutazione dei rischi per i diritti e le libertà degli interessati; le misure previste per affrontare i rischi, incluse garanzie, misure di sicurezza e meccanismi per garantire la protezione dei dati e dimostrare la conformità.

Nella prassi, si osserva una tendenza diffusa a trattare la DPIA come un adempimento documentale da assolvere mediante compilazione di modelli preconfezionati, con esiti sostanzialmente predeterminati e rischio residuo sistematicamente qualificato come accettabile. Si ritiene che tale approccio snaturi la funzione dell’istituto. La valutazione d’impatto è, nella logica del Regolamento, lo strumento attraverso cui il titolare dimostra di aver effettivamente ponderato le alternative e di aver scelto la configurazione meno invasiva fra quelle idonee. Il cuore dell’esercizio non è la tabella dei rischi, ma la sezione sulla necessità e proporzionalità: è lì che si deve dare conto, ad esempio, del perché la telecamera sia stata orientata in quel modo, del perché il periodo di conservazione sia stato fissato in quel numero di giorni, del perché non siano state ritenute sufficienti misure alternative quali l’illuminazione pubblica, la segnaletica dissuasiva o il presidio periodico.

Nel caso di specie, se la DPIA fosse stata condotta secondo tale metodo, il tema dell’inquadratura dell’abitazione sarebbe con ogni probabilità emerso in sede di analisi, e il mascheramento sarebbe stato adottato ab origine. Appare chiaro allo scrivente che vi sia un nesso diretto fra l’insufficienza della valutazione d’impatto e tutte le altre violazioni accertate: la DPIA mal condotta non è una violazione formale aggiuntiva, è la causa prossima delle violazioni sostanziali.

Profili critici e questioni aperte

Alcune considerazioni critiche si impongono, formulate in termini dubitativi come la materia richiede.

Una prima questione riguarda la sostenibilità degli obblighi per gli enti di ridotte dimensioni. Il Regolamento adotta un approccio basato sul rischio e non sulla dimensione del titolare, e ciò risponde a una logica condivisibile: il cittadino di un comune di ottocento abitanti non merita una tutela inferiore a quella del residente in una metropoli, anzi, la minore dimensione della comunità accresce la riconoscibilità e dunque l’impatto della sorveglianza. E tuttavia si osserva che la capacità amministrativa dei piccoli comuni è oggettivamente limitata, che il responsabile della protezione dei dati è spesso condiviso fra più enti con monte ore ridotto, che le competenze tecniche sulla configurazione degli apparati risiedono interamente presso il fornitore. Si ritiene che un intervento di soft law — modelli di DPIA settoriale, schemi di informativa, liste di controllo sulla configurazione degli impianti, elaborati dall’Autorità o da ANCI in raccordo con essa — produrrebbe effetti di conformità superiori a quelli ottenibili per via sanzionatoria.

Una seconda questione attiene al ruolo del fornitore. Nella gran parte dei casi l’ente acquista un impianto “chiavi in mano” e il posizionamento fisico delle telecamere, la determinazione degli angoli di ripresa, la configurazione dei parametri di conservazione sono operati dall’installatore. Si pone allora il problema della qualificazione giuridica di tale soggetto: responsabile del trattamento ai sensi dell’articolo 28 del Regolamento, ove effettui manutenzione con accesso alle immagini, oppure mero fornitore di beni, ove la sua attività si esaurisca nella consegna e installazione. La distinzione è rilevante, ma non sposta la responsabilità del titolare, che resta integra ai sensi dell’articolo 24. Si suggerisce nondimeno di tradurre le prescrizioni di protezione dei dati in requisiti contrattuali e capitolari vincolanti, con previsione di verifiche di conformità in sede di collaudo: la documentazione fotografica dei campi visivi effettivi, allegata al verbale di collaudo, costituisce a parere di chi scrive uno degli strumenti probatori più efficaci e meno costosi.

Una terza questione concerne i sistemi di lettura delle targhe. La fonte riferisce che fra le funzioni dell’impianto comunale vi era anche tale lettura. Si osserva che il riconoscimento automatico delle targhe presenta un grado di invasività significativamente superiore alla videosorveglianza ordinaria, perché produce dati strutturati, facilmente ricercabili e incrociabili, idonei a ricostruire gli spostamenti di un veicolo e, indirettamente, del suo utilizzatore abituale. Si ritiene che tali sistemi richiedano una base giuridica specifica e una valutazione d’impatto autonoma, non assorbibile in quella generale dell’impianto.

Una quarta questione, di taglio più generale, riguarda l’efficacia deterrente di sanzioni di importo contenuto irrogate a enti pubblici. L’importo di quattromila euro grava, in definitiva, sulla finanza dell’ente e quindi sulla collettività amministrata. Si ritiene che l’effetto conformativo del provvedimento risieda assai più nelle misure correttive ordinate — che impongono un impegno organizzativo reale e verificabile — che nella sanzione pecuniaria. Il che suggerisce, forse, una riflessione sull’opportunità di valorizzare ulteriormente, nei confronti dei soggetti pubblici, lo strumento dell’ingiunzione corredata da obblighi di rendicontazione, piuttosto che quello afflittivo in senso stretto.

Una quinta e ultima questione riguarda la dimensione temporale della conformità. Impianti installati nel 2011-2012 rispondevano a un quadro normativo diverso, segnato dal provvedimento generale del Garante dell’8 aprile 2010 e dal Codice nella versione anteriore alla novella del 2018. Si pone allora il problema di come gestire l’adeguamento del patrimonio infrastrutturale preesistente. Si ritiene che il Regolamento non consenta alcuna forma di grandfathering: l’obbligo di conformità è attuale e riferito al trattamento in corso, non alla data di installazione dell’apparato. In termini più pragmatici, non esiste un diritto quesito alla configurazione originaria.

Adempimenti per DPO e organizzazioni

Dalla vicenda si traggono indicazioni operative che eccedono ampiamente il perimetro degli enti locali e interessano ogni titolare che gestisca impianti video, pubblico o privato che sia.

Il primo adempimento è la ricognizione censuaria dell’intero parco installato. Si tratta di un’attività apparentemente banale e invece spesso omessa: occorre un inventario che, per ciascuna telecamera, registri l’identificativo univoco, l’ubicazione fisica, la data di installazione, il modello e le caratteristiche tecniche rilevanti — risoluzione, presenza di zoom motorizzato, capacità di brandeggio, funzioni di analisi video —, la finalità cui è destinata, il campo visivo effettivo. Si ritiene che l’esperienza di audit mostri con regolarità una divergenza fra il censimento documentale e la realtà di campo: telecamere installate e mai registrate, apparati dismessi ma ancora presenti negli elenchi, dispositivi riorientati nel tempo senza aggiornamento della documentazione. Per questa ragione la ricognizione deve essere condotta sul posto e non a tavolino.

Ne discende, come corollario immediato, la verifica del campo visivo reale di ciascun apparato. L’unica metodologia affidabile consiste nell’acquisire, dal sistema di gestione video, uno screenshot della ripresa effettiva di ogni telecamera, nelle diverse posizioni assumibili ove si tratti di apparati brandeggiabili, e nell’archiviare tali immagini come allegato documentale datato. Si suggerisce di ripetere tale verifica con cadenza periodica, perché gli angoli di ripresa si modificano nel tempo per effetto di agenti atmosferici, interventi manutentivi, urti accidentali. Per gli apparati dotati di brandeggio e zoom la questione si complica, poiché il campo visivo è variabile per definizione: in tali casi la misura appropriata è la limitazione per configurazione dei limiti di escursione e dei livelli di ingrandimento, con mascheramento dinamico delle aree escluse.

Segue la ricostruzione analitica della base giuridica per singola finalità. L’esercizio richiede di abbandonare la logica dell’impianto unitario e di ragionare per flussi: per ciascuna finalità si individua la norma attributiva del compito o, per i titolari privati, la base di legittimo interesse adeguatamente documentata nel relativo bilanciamento; si verifica la necessità del mezzo video; si determinano conseguentemente il tempo di conservazione, i soggetti autorizzati e le condizioni di accesso. Dove le finalità divergano, si procede alla segmentazione tecnica e autorizzativa dei flussi, perché l’accorpamento indiscriminato produce un livellamento verso l’alto dei parametri di invasività.

Parallelamente va affrontata la configurazione dei mascheramenti come misura di default e non come rimedio. Ogni porzione di campo visivo che ricada su proprietà di terzi, su aperture abitative, su spazi non pertinenti alla finalità dichiarata va oscurata in configurazione, con documentazione della configurazione stessa e verifica periodica della sua persistenza — poiché un aggiornamento di firmware o una sostituzione di apparato possono azzerare le impostazioni. Si suggerisce di prevedere espressamente nelle procedure di manutenzione l’obbligo di ripristino e verifica dei mascheramenti dopo ogni intervento tecnico, con registrazione dell’esito.

Sul versante documentale, occorre procedere alla redazione o revisione sostanziale della valutazione d’impatto, concentrando lo sforzo analitico sulla sezione dedicata a necessità e proporzionalità e non sulla matrice dei rischi. Si ritiene che la DPIA debba dare conto, con riferimento a ciascuna telecamera o a ciascun gruppo omogeneo di telecamere, delle alternative considerate e delle ragioni della scelta, nonché delle misure specificamente adottate per contenere l’impatto. La consultazione del responsabile della protezione dei dati, prescritta dall’articolo 35, paragrafo 2, deve risultare documentata e il suo parere va conservato, anche quando il titolare se ne discosti: in tale ultimo caso si suggerisce di motivare per iscritto lo scostamento, elemento che rileva ai fini della conformità documentabile in sede di verifica.

Quanto alla trasparenza, va impostato il modello informativo a due livelli, verificando sul campo che ogni area sorvegliata sia effettivamente coperta da cartellonistica collocata prima dell’ingresso nel raggio di ripresa, leggibile nelle condizioni di luce ordinarie e in uno stato di conservazione adeguato. L’informativa estesa deve essere pubblicata in sezione stabile del sito e deve corrispondere — questa è la verifica di coerenza spesso trascurata — a quanto rappresentato nel registro delle attività di trattamento e nella valutazione d’impatto. La divergenza fra questi tre documenti è, nell’esperienza di audit, uno dei reperti più frequenti e più facilmente rilevabili da un’autorità di controllo.

Va poi curata la disciplina dell’accesso alle immagini, mediante designazione formale degli autorizzati ai sensi dell’articolo 29 del Regolamento e dell’articolo 2-quaterdecies del Codice, istruzioni scritte, credenziali individuali e non condivise, registrazione degli accessi e delle estrazioni. Si suggerisce di prevedere una procedura formalizzata per la gestione delle richieste di accesso provenienti dall’autorità giudiziaria o dalle forze di polizia, con registro delle consegne e indicazione della norma invocata, poiché tali richieste costituiscono il momento in cui più frequentemente si producono comunicazioni non tracciate.

Occorre inoltre presidiare la gestione dei diritti degli interessati, predisponendo una procedura che consenta di evadere nei termini dell’articolo 12, paragrafo 3, le richieste di accesso alle immagini, tenendo conto della necessità di tutelare i diritti dei terzi eventualmente ripresi — il che impone capacità tecniche di oscuramento selettivo in fase di estrazione — e della brevità dei tempi di conservazione, che rende opportuna una procedura di congelamento immediato del materiale all’atto della ricezione dell’istanza.

Sul piano contrattuale, si suggerisce di tradurre tutte le prescrizioni in requisiti capitolari e contrattuali verso i fornitori, con clausole che impongano la configurazione conforme, il mantenimento dei mascheramenti dopo gli interventi, la non modificabilità degli angoli di ripresa senza autorizzazione scritta del titolare, e con previsione di un collaudo documentato sotto il profilo della protezione dei dati. Dove il fornitore acceda alle immagini per manutenzione, la nomina a responsabile ai sensi dell’articolo 28 è dovuta, con il corredo di istruzioni, misure di sicurezza e disciplina dei subresponsabili.

Infine, e con riferimento specifico alla funzione del responsabile della protezione dei dati, si suggerisce di inserire la videosorveglianza nel piano annuale di verifica con periodicità almeno annuale e con metodologia di riscontro sul campo, non limitata all’esame documentale. L’esperienza applicativa mostra che la conformità degli impianti video è intrinsecamente deperibile: gli angoli si spostano, le configurazioni si perdono, i cartelli si deteriorano, le telecamere si aggiungono. Un presidio solo documentale non intercetta nessuno di questi fenomeni.

Conclusioni

Il provvedimento n. 636 del 23 settembre 2026 non introduce principi nuovi. Il suo valore risiede altrove: nella ricostruzione, a partire da un reclamo individuale su una singola telecamera, di un quadro di non conformità sistemica, e nell’affermazione netta che l’adozione tardiva di una misura tecnica — pur astrattamente idonea — non sana la violazione dell’obbligo di protezione dei dati fin dalla progettazione.

Restano aperte alcune questioni che meriteranno attenzione nelle prossime pronunce. La prima riguarda il regime applicabile agli impianti comunali a destinazione mista, laddove le medesime riprese servano tanto finalità amministrative quanto finalità di prevenzione e accertamento dei reati, con conseguente sovrapposizione fra Regolamento (UE) 2016/679 e decreto legislativo 51/2018: si ritiene che una presa di posizione organica dell’Autorità su questo snodo sarebbe di notevole utilità per gli operatori.

La seconda concerne i sistemi di lettura automatica delle targhe, la cui diffusione nei contesti urbani appare crescente e la cui disciplina specifica non risulta, allo stato, oggetto di linee guida dedicate aggiornate al quadro vigente. Il tema si lega, prospetticamente, all’applicazione del Regolamento (UE) 2024/1689 sull’intelligenza artificiale, nella misura in cui le funzioni di analisi video evolvano verso il riconoscimento di comportamenti, la classificazione di soggetti o l’identificazione biometrica, con l’attivazione dei regimi di divieto o di alto rischio ivi previsti [Nota redazionale: verificare, alla data di pubblicazione, lo stato di applicazione scaglionata delle disposizioni del Regolamento (UE) 2024/1689 richiamate.]. Si osserva che molti impianti di nuova generazione includono già funzioni di analisi che potrebbero ricadere in tale perimetro, spesso senza che il titolare ne abbia piena consapevolezza.

La terza questione attiene alla capacità amministrativa. Si ritiene che il tema della conformità dei piccoli enti non si risolva sul piano sanzionatorio e che un investimento in strumenti di supporto standardizzati produrrebbe risultati superiori, specie se accompagnato da un rafforzamento effettivo della funzione del responsabile della protezione dei dati nelle gestioni associate.

Per quanto di stretto interesse in questa sede, la lezione metodologica è che la conformità di un impianto di videosorveglianza non è uno stato documentale ma una condizione tecnica verificabile sul campo, e che la distanza fra i due piani — fra ciò che è scritto nella DPIA e ciò che la telecamera effettivamente inquadra — è esattamente lo spazio in cui si collocano le violazioni accertate.

Riferimenti normativi

• Regolamento (UE) 2016/679 (GDPR)
• Regolamento (UE) 2024/1689 (AI Act)
• Direttiva (UE) 2016/680
• Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali (CEDU)
• Costituzione della Repubblica italiana
• decreto legislativo 196/2003
• decreto legislativo 101/2018
• decreto legislativo 51/2018
• decreto-legge 14/2017, convertito con modificazioni dalla legge 48/2017
• Garante per la protezione dei dati personali, provvedimento n. 636 del 23 settembre 2026
• Garante per la protezione dei dati personali, provvedimento generale in materia di videosorveglianza dell’8 aprile 2010
• European Data Protection Board, Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video

L'articolo Videosorveglianza urbana e sfera domestica: il provvedimento del Garante sul Comune di Arvier — base giuridica, angoli di ripresa e limiti del “privacy masking” sopravvenuto proviene da 01magazine.

Con la delibera n. 344 del 9 settembre 2026 l’Autorità Nazionale Anticorruzione ha definito un procedimento sanzionatorio avviato nei confronti dei componenti dell’organo cui una società privata aveva affidato la gestione del canale interno di segnalazione, concludendo con l’archiviazione della contestazione relativa alla mancata gestione della segnalazione, ai sensi dell’art. 21, comma 1, lett. b), del decreto legislativo 24/2023, e con l’irrogazione di una sanzione di 15.000 euro a ciascuno dei tre gestori per violazione dell’obbligo di riservatezza di cui all’art. 12 del medesimo decreto. Il provvedimento interessa il lettore professionale per tre ragioni convergenti: afferma che l’illecito di disvelamento si integra anche in forma colposa e anche quando l’identità non sia stata rivelata direttamente, bastando la messa a disposizione di informazioni da cui essa possa evincersi; importa nel giudizio sulla riservatezza i criteri di identificabilità del Considerando 26 del Regolamento (UE) 2016/679, con espresso richiamo alle dinamiche di “single out” e di “inference”; delimita, per converso, il potere dell’Autorità, che non si estende al merito delle valutazioni istruttorie del gestore. Se ne ricava, secondo il parere di chi scrive, una riqualificazione della gestione della segnalazione come attività di trattamento di dati personali ad alto rischio, da progettare e documentare.

Premessa

In premessa va detto che il provvedimento qui esaminato si colloca all’intersezione di due discipline che la prassi applicativa tende ancora a trattare separatamente: quella della protezione delle persone che segnalano violazioni, introdotta dalla Direttiva (UE) 2019/1937 e recepita con il decreto legislativo 10 marzo 2023, n. 24, e quella della protezione dei dati personali, di cui al Regolamento (UE) 2016/679 e al decreto legislativo 196/2003. Il punto di saldatura è l’art. 12 del d.lgs. 24/2023, che al comma 2 vieta la rivelazione dell’identità della persona segnalante “e qualsiasi altra informazione da cui può evincersi, direttamente o indirettamente, tale identità” a soggetti diversi da quelli competenti a ricevere o dare seguito alle segnalazioni, “espressamente autorizzate a trattare tali dati ai sensi degli articoli 29 e 32, paragrafo 4, del regolamento (UE) 2016/679 e dell’articolo 2-quaterdecies del codice in materia di protezione dei dati personali di cui al decreto legislativo 30 giugno 2003, n. 196”.

Il perimetro dell’analisi che segue è circoscritto. Non si trattano qui i profili ritorsivi — su cui, secondo quanto riportato dalla fonte, l’Autorità ha avviato un distinto procedimento, poi sospeso per la pendenza di un giudizio sul medesimo oggetto, ai sensi dell’art. 15 del Regolamento adottato con delibera ANAC n. 301 del 12 luglio 2023 — né i profili di idoneità del canale interno, rispetto ai quali l’Autorità ha ritenuto insussistenti i presupposti per l’avvio del procedimento semplificato di cui all’art. 30 del medesimo Regolamento. L’analisi si concentra sui due capi effettivamente decisi: la non sanzionabilità della cosiddetta “mancata gestione” e la sanzionabilità della violazione dell’obbligo di riservatezza. Trattasi, per l’appunto, di due questioni che hanno una diretta ricaduta organizzativa sulle funzioni di compliance, sugli organismi di vigilanza ex decreto legislativo 231/2001 e, non da ultimo, sul Responsabile della protezione dei dati, chiamato sempre più spesso a pronunciarsi sulla architettura dei canali interni e sulle procedure istruttorie.

Il quadro normativo di riferimento

La disciplina europea

La Direttiva (UE) 2019/1937 costruisce la protezione del segnalante attorno a tre pilastri: l’obbligo di istituire canali di segnalazione, il divieto di ritorsione e la tutela della riservatezza dell’identità. Per quanto di stretto interesse in questa sede, rilevano in particolare due disposizioni richiamate dall’Autorità. L’art. 5 della Direttiva, nel definire le “informazioni sulle violazioni”, vi comprende “informazioni, compresi fondati sospetti, riguardanti effettive o potenziali violazioni che si sono verificate o che molto verosimilmente potrebbero verificarsi nell’organizzazione presso cui la persona segnalante lavora o ha lavorato, o in altra organizzazione con la quale la persona segnalante è o è stata in contatto nell’ambito della sua attività professionale, nonché tentativi di occultare tali violazioni”. L’art. 6, a sua volta, subordina la protezione alla sola condizione che i segnalanti “abbiano avuto fondati motivi di ritenere che le informazioni segnalate fossero vere al momento della segnalazione e che tali informazioni rientrassero nell’ambito di applicazione della presente Direttiva”.

Il Considerando 32 della Direttiva aggiunge il tassello decisivo sul piano soggettivo: “I motivi che hanno indotto le persone segnalanti a effettuare la segnalazione dovrebbero essere irrilevanti al fine di decidere sulla concessione della protezione”. Si tratta di una scelta di politica legislativa che, nella sostanza, rinuncia a qualunque scrutinio sulla purezza dell’intenzione, consapevole del fatto che la segnalazione nasce quasi sempre in un contesto di conflitto.

La disciplina nazionale

Il d.lgs. 24/2023 recepisce fedelmente tale impostazione. L’art. 16, comma 1, lett. a), riconosce la protezione a chi “al momento della segnalazione (omissis) aveva fondato motivo di ritenere che le informazioni sulle violazioni segnalate, divulgate pubblicamente o denunciate fossero vere”; il comma 2 stabilisce che “I motivi che hanno indotto la persona a segnalare o denunciare o divulgare pubblicamente sono irrilevanti ai fini della sua protezione”. Per converso, l’art. 1, comma 2, lett. a), esclude dall’ambito di applicazione “le contestazioni, rivendicazioni o richieste legate ad un interesse di carattere personale della persona segnalante (omissis) che attengono esclusivamente ai propri rapporti individuali di lavoro o di impiego pubblico, ovvero inerenti ai propri rapporti di lavoro o di impiego pubblico con le figure gerarchicamente sovraordinate”.

L’art. 4 impone ai soggetti del settore pubblico e privato di attivare canali che “garantiscano, anche attraverso il ricorso a strumenti di crittografia, la riservatezza dell’identità del segnalante, della persona coinvolta e della persona comunque menzionata, nonché del contenuto della segnalazione e della relativa documentazione”. L’art. 5 scandisce gli obblighi procedurali del gestore: l’avviso di ricevimento entro sette giorni, il “diligente seguito alle segnalazioni ricevute” di cui alla lettera c), il riscontro entro tre mesi. L’art. 12 presidia la riservatezza. L’art. 21, infine, costruisce il sistema sanzionatorio, prevedendo alla lettera a) del comma 1 una sanzione amministrativa pecuniaria da 10.000 a 50.000 euro, fra l’altro, per il caso in cui sia stata violata la riservatezza di cui all’art. 12, e alla lettera b) la sanzione per il caso in cui sia accertato che “le segnalazioni non sono state verificate e analizzate”.

Alla disciplina sostanziale si affiancano le fonti procedimentali e di soft law dell’Autorità: il “Regolamento per la gestione delle segnalazioni e per l’esercizio del potere sanzionatorio dell’ANAC in attuazione del decreto legislativo 10 marzo 2023, n. 24”, adottato con delibera n. 301 del 12 luglio 2023, le Linee guida sulle segnalazioni esterne adottate con delibera n. 311 del 12 luglio 2023 e le più recenti Linee guida in materia di whistleblowing sui canali interni di segnalazione, adottate con delibera n. 478 del 26 novembre 2025 . A queste si aggiungono, per il procedimento sanzionatorio, i principi generali di cui alla legge 24 novembre 1981, n. 689 — in particolare gli artt. 3, 5 e 11 — e, per la partecipazione procedimentale, la legge 7 agosto 1990, n. 241.

Il raccordo con la disciplina dei dati personali

Il raccordo è esplicito nel testo dell’art. 12, comma 2, del d.lgs. 24/2023, che individua i soggetti legittimati al trattamento mediante rinvio agli artt. 29 e 32, paragrafo 4, del GDPR e all’art. 2-quaterdecies del d.lgs. 196/2003. In sostanza, chi gestisce una segnalazione tratta dati personali in qualità di persona autorizzata sotto l’autorità del titolare, e deve essere istruito in tal senso. In termini più pragmatici, il gestore non è un investigatore privo di vincoli: è un soggetto che opera all’interno di un trattamento, con una base giuridica, una finalità determinata e un perimetro di dati minimizzato.

Da qui discende il passaggio argomentativo più innovativo della delibera, ossia l’utilizzo del Considerando 26 del GDPR come parametro interpretativo dell’art. 12. Il Considerando, come noto, prescrive che “per stabilire l’identificabilità di una persona è opportuno considerare tutti i mezzi, come l’individuazione, di cui il titolare del trattamento o un terzo può ragionevolmente avvalersi per identificare detta persona fisica direttamente o indirettamente. Per accertare la ragionevole probabilità di utilizzo dei mezzi per identificare la persona fisica, si dovrebbe prendere in considerazione l’insieme dei fattori obiettivi, tra cui i costi e il tempo necessario per l’identificazione, tenendo conto sia delle tecnologie disponibili al momento del trattamento, sia degli sviluppi tecnologici”.

La vicenda come ricostruita dall’Autorità

La ricostruzione fattuale operata dall’ANAC può essere sintetizzata per linee essenziali. Un dipendente di una società privata presentava, nel dicembre 2024, una segnalazione in forma anonima al canale interno, allegando scambi di posta elettronica relativi a una progettualità contrattuale con una società cliente e lamentando che il proprio superiore avesse chiesto modifiche “fittizie” al contratto per consentire al cliente di fatturare l’attività entro l’esercizio. Nella piattaforma, il segnalante chiedeva espressamente l’esclusione di un componente dell’organo di gestione per potenziale conflitto di interessi, avvalendosi di una funzionalità all’uopo prevista.

L’organo di gestione, così ricomposto, avviava l’istruttoria il giorno successivo, convocando in audizione i cinque soggetti presenti negli scambi di posta allegati alla segnalazione, ai quali si aggiungeva successivamente il superiore gerarchico del soggetto segnalato. Il segnalante veniva sentito per ultimo. In quella sede apprendeva che la sua identità era già nota: infatti, il presidente dell’organo esordiva, prima dell’inizio formale dell’audizione e in assenza degli altri componenti, con la frase “abbiamo ricevuto la tua segnalazione OMISSIS”, aggiungendo poi che “le segnalazioni (n.d.r.) si possono declinare, come hai fatto anche tu, che hai escluso ad esempio un partecipante a questo team”.

Nelle ore immediatamente successive all’audizione, il segnalante riceveva una convocazione presso l’ufficio di normativa giuslavoristica e la notifica automatica di una modifica del contratto oggetto di segnalazione, effettuata senza alcun suo coinvolgimento. Due giorni dopo gli veniva consegnata una contestazione disciplinare relativa al rispetto dei limiti del lavoro agile; nel gennaio successivo l’organo di gestione comunicava l’archiviazione della segnalazione per infondatezza e, pochi giorni dopo, veniva intimato il licenziamento per giusta causa. Il giudice del lavoro, con sentenza non ancora definitiva, dichiarava la nullità del licenziamento riconoscendone il carattere ritorsivo e condannando la società alla reintegrazione.

Va rilevato che l’Autorità ha dato conto di una fase preistruttoria articolata — richieste di chiarimenti, audizione dell’esponente, acquisizione del riscontro dell’organo di gestione — e di una fase istruttoria caratterizzata da un accentuato apporto partecipativo, con istanze di accesso agli atti da entrambe le parti, memorie difensive e audizione dei presunti responsabili assistiti dai difensori. Il dato merita menzione perché il procedimento sanzionatorio ANAC in materia di whistleblowing, pur retto da un regolamento interno, si innesta sulle garanzie della legge 241/1990 e della legge 689/1981; la scelta di riunire in un’unica sede procedimentale le contestazioni relative alla mancata gestione e alla violazione della riservatezza è stata motivata, nel provvedimento, con l’identità delle parti, la connessione fattuale, temporale e finalistica delle condotte e i principi di economicità dell’azione amministrativa.

La qualificazione del segnalante e l’irrilevanza del movente

La difesa dei gestori aveva eccepito l’applicabilità dell’esclusione di cui all’art. 1, comma 2, lett. a), del d.lgs. 24/2023, sostenendo che la segnalazione fosse stata strumentalmente utilizzata in un contesto di “disagio lavorativo” e di mancata promozione, e dunque per finalità personali.

L’Autorità ha respinto l’eccezione sulla base di una distinzione concettuale che appare, allo scrivente, la parte più didatticamente utile del provvedimento: quella tra il “motivo” della segnalazione e l'”interesse” nella segnalazione. Il motivo attiene alla sfera psichica del segnalante e risponde alla domanda sul perché la segnalazione sia stata presentata; esso è irrilevante, per espressa previsione del Considerando 32 della Direttiva e dell’art. 16, comma 2, del decreto. L’interesse personale rilevante ai fini dell’esclusione attiene invece all’oggetto: risponde alla domanda su che cosa sia stato segnalato, e ricorre solo quando la segnalazione verta su pretese, rivendicazioni o contestazioni relative al proprio rapporto individuale di lavoro.

In termini più concreti: il dipendente in conflitto con il superiore che segnala la falsificazione di una data contrattuale resta un whistleblower, perché l’oggetto della segnalazione è la falsificazione e non il conflitto; il dipendente che utilizzi il canale per contestare il mancato avanzamento di carriera non lo è, perché l’oggetto coincide con la rivendicazione individuale. Nel caso di specie, l’Autorità ha osservato che il segnalante aveva per l’appunto veicolato le proprie doglianze lavorative attraverso un distinto canale, dimostrando di padroneggiare la differenza.

A sostegno, l’Autorità ha richiamato due pronunce. La prima è quella del TAR Lazio, sezione prima quater, n. 7507 del 24 aprile 2026, secondo cui “quanto alla questione dell’illiceità delle condotte, la legge non richiede che il segnalante denunci fatti che integrano senz’altro fattispecie di reato e conducano necessariamente ad una sentenza di condanna, bensì esclusivamente la sua buona fede in termini di verità putativa”, e secondo cui “il fatto che il segnalante non abbia agito solo quale defensor legitimitatis non esclude l’attivazione delle tutele previste dalla normativa whistleblowing, trattandosi di una evenienza del tutto fisiologica e non incompatibile con le finalità anticorruzione che quest’ultima intende realizzare”. La seconda è la sentenza del Tribunale di Catania n. 1391 del 2026, per la quale “la finalità che muove il soggetto alla denuncia, se funzionalizzata alla tutela dell’interesse pubblico, può anche coesistere con altri tipi di interessi, dovendo la tutela invece escludersi laddove l’istituto del whistleblowing sia utilizzato per scopi esclusivamente di carattere personale o per contestazioni o rivendicazioni inerenti al rapporto di lavoro nei confronti di superiori (omissis) oppure laddove sia stata accertata in sede penale o civile la responsabilità per calunnia o diffamazione”.

Si ritiene che questo passaggio meriti particolare attenzione nella prassi aziendale, perché la tentazione di qualificare come “rivendicazione personale” ogni segnalazione proveniente da un dipendente in conflitto è ricorrente e produce, se accolta, un effetto di svuotamento sistematico della tutela.

Il limite del sindacato dell’Autorità sul merito dell’istruttoria

Sul primo capo di contestazione — la mancata gestione ex art. 21, comma 1, lett. b) — l’Autorità è pervenuta all’archiviazione, accogliendo espressamente l’impostazione difensiva. Il provvedimento riconosce che la disposizione sanzionatoria “non può validamente ritenersi volta ad attribuire poteri di accertamento del merito dell’istruttoria svolta dall’Organo di gestione (n.d.r.), con conseguenti ulteriori potestà sanzionatorie. Estendere il campo applicativo della norma sanzionatoria sino a ricomprendervi il sindacato sulla correttezza sostanziale delle indagini istruttorie integrerebbe un’interpretazione analogica in malam partem di una disposizione di natura punitiva, in palese violazione del principio di stretta legalità e del divieto di analogia in materia sanzionatoria”.

La ratio decidendi è dunque di stretta legalità sanzionatoria. L’Autorità verifica se le attività di verifica e analisi siano state effettivamente svolte, non se siano state svolte bene; sindaca l’an, non il quomodo valutativo. Restano fuori dal perimetro, per esplicita affermazione, anche le valutazioni sull’effettiva sussistenza delle violazioni contabili, tributarie o etiche segnalate — profilo che, nel caso di specie, la difesa aveva argomentato richiamando la soglia di materialità economica rispetto ai bilanci e il dolo specifico richiesto dall’art. 2621 del codice civile.

Il provvedimento indica tuttavia un criterio operativo di non poco conto: l’esecuzione delle prescrizioni dell’art. 5 del d.lgs. 24/2023 — avviso di ricevimento, avvio tempestivo delle attività, interlocuzione con il segnalante, riscontro nei termini — è “indice sintomatico” del corretto assolvimento dell’obbligo di verifica e analisi. In termini più pragmatici, il rispetto documentato delle scansioni procedurali costituisce la prima linea difensiva del gestore rispetto alla contestazione di cui alla lettera b).

Ciò non ha impedito all’Autorità di rilevare, pur senza sanzionarle, una serie di carenze procedurali qualificate come “scostamenti dai canoni del corretto agere” e segnalate “ai fini di prevenzione e di orientamento per i futuri comportamenti”. Fra queste, la scarsa trasparenza sulla composizione effettiva dell’organo in quel periodo, l’omessa verbalizzazione delle interviste, l’omessa menzione nell’esito comunicato al segnalante delle verifiche pur effettuate su un secondo contratto, e l’audizione informale di un soggetto da parte di un solo componente dell’organo anziché in composizione collegiale.

Il rilievo sulla verbalizzazione è, secondo il parere di chi scrive, quello destinato alla maggiore fortuna applicativa. L’Autorità lo àncora esplicitamente al principio di accountability, “da intendere come capacità dei soggetti agenti di tracciare, dimostrare e provare le azioni intraprese nello svolgimento del proprio incarico”, precisando che “nella gestione, oltre allo svolgimento delle attività, è di assoluta rilevanza la formazione della documentazione necessaria a provare l’an e il quomodo delle attività poste in essere”. Trattasi di una trasposizione del principio di cui all’art. 5, paragrafo 2, del GDPR al procedimento interno di gestione delle segnalazioni: non basta agire correttamente, occorre poterlo dimostrare. Va osservato — e il caso lo mostra con nettezza — che l’assenza di verbali ha finito per nuocere agli stessi gestori, poiché l’unico documento istruttorio dotato di valore probatorio pieno è risultato essere la registrazione audio prodotta dal segnalante, naturalmente relativa alla sola audizione che lo riguardava.

La violazione dell’obbligo di riservatezza: il profilo oggettivo

Il cuore della delibera è l’accertamento della violazione dell’art. 12. L’Autorità muove da una premessa di metodo: la gestione di una segnalazione whistleblowing è “ontologicamente differente” rispetto alla gestione di una segnalazione ordinaria, perché impone “un costante bilanciamento tra l’esigenza di accertare la fondatezza dei fatti illeciti denunciati e la necessità di garantire la riservatezza in merito all’identità del segnalante, ma anche del segnalato, del contenuto della segnalazione e delle persone menzionate”.

Da questa premessa discende un’affermazione che rovescia una convinzione diffusa nella prassi: la strategia di “circoscrivere” l’indagine ai soli soggetti e ai soli documenti strettamente pertinenti — presentata dalla difesa come applicazione del principio di minimizzazione — è stata ritenuta, nelle circostanze del caso, controproducente. L’Autorità osserva che la convocazione, il giorno successivo alla segnalazione, dei soli cinque componenti del ristretto team di lavoro, con domande specifiche su un determinato contratto e un determinato cliente, era “connotata da un ingiustificato rischio di disvelamento dell’identità del segnalante e del contenuto della segnalazione”.

Sul piano oggettivo, le informazioni veicolate agli intervistati sono state identificate in tre: l’esistenza di una segnalazione whistleblowing, il suo oggetto specifico con indicazione del cliente e del contratto, la circostanza che gli intervistati fossero coinvolti o citati negli allegati trasmessi dal segnalante. A queste si sono sommati i dati di contesto già in possesso di tutti: la minore anzianità del segnalante, il suo ruolo marginale nel progetto, la sua estraneità alle richieste di modifica contestate, i pregressi attriti con il superiore poi segnalato.

È qui che interviene il richiamo al Considerando 26 del GDPR e alle categorie del “single out” — l’isolamento di un individuo all’interno di un insieme — e dell’inferenza, categorie che l’Autorità richiama anche mediante rinvio al provvedimento del Garante per la protezione dei dati personali n. 402 del 24 novembre 2022 [Nota redazionale: verificare numero, data e oggetto del provvedimento del Garante richiamato in tema di identificabilità indiretta prima della pubblicazione.]. In sostanza, l’art. 12 non protegge il nome: protegge la riconducibilità. In termini più concreti, se in un gruppo di cinque persone si comunica che è pervenuta una segnalazione su un determinato contratto e si convocano tutti e cinque, l’insieme dei candidati alla qualifica di segnalante si riduce a una platea sufficientemente ristretta perché i dati di contesto — chi aveva motivo di dissentire, chi era marginale, chi aveva litigato con il superiore — operino da discriminante univoca.

L’Autorità ha inoltre chiarito che il tenore letterale dell’art. 12, nella parte in cui vieta la rivelazione di informazioni “da cui può evincersi, direttamente o indirettamente, tale identità”, sposta “l’oggetto dell’indagine sull’attitudine, in astratto, delle informazioni rilevate a causare l’identificazione del segnalante”. Si tratta, dunque, di un illecito di pericolo: non occorre provare che l’identificazione sia avvenuta.

Ciò nondimeno, il provvedimento ha ritenuto provata, in via inferenziale, anche l’identificazione in concreto, sulla base di tre indizi: l’esclusione del segnalante, successiva alla segnalazione, dagli scambi di posta e dalle attività contrattuali cui prima partecipava, con modifiche al contratto effettuate durante l’istruttoria senza coinvolgerlo; l’esordio del presidente dell’organo di gestione nell’audizione del segnalante, da cui si desume che l’identificazione fosse già intervenuta mediante combinazione delle informazioni possedute dall’organo con quelle possedute dagli intervistati, e dunque che il flusso informativo fosse necessariamente bidirezionale; la sequenza temporale ravvicinata fra audizione, contestazione disciplinare e licenziamento, poi dichiarato nullo per ritorsività dal giudice del lavoro. Sul valore degli indizi l’Autorità ha richiamato la sentenza della Cassazione penale, sezione V, n. 28559 del 2020, secondo cui “gli indizi sono gli elementi probatori raggiunti attraverso un ragionamento inferenziale, che partendo da un fatto noto (indizio) conduce ad un fatto ignoto (il fatto da provare), in virtù dell’applicazione di regole scientifiche ovvero di massime di esperienza”.

Merita segnalare che l’Autorità ha precisato il carattere non vincolante della pronuncia del giudice del lavoro ai fini delle proprie determinazioni, valorizzandola esclusivamente sul piano indiziario — scelta coerente con la distinzione fra i due procedimenti e con la circostanza che su quella pronuncia non si era ancora formato il giudicato.

La violazione dell’obbligo di riservatezza: il profilo soggettivo e il dovere di de-identificazione

Accertato il profilo oggettivo, il provvedimento affronta l’elemento soggettivo, ricostruendo il “diligente seguito” di cui all’art. 5, comma 1, lett. c), del d.lgs. 24/2023 come dovere composito di perizia — “conoscenza delle regole richieste per lo svolgimento dei compiti richiesti” —, prudenza — “capacità di valutare e scongiurare i rischi” — e adeguatezza — “proporzionalità tra mezzi impiegati e risultati da raggiungere”.

Da tale ricostruzione l’Autorità trae una regola di condotta positiva, probabilmente il passaggio più discusso del provvedimento: in segnalazioni riguardanti un singolo contratto e pochi soggetti coinvolti, “la strategia da adottare non sia, in alcun modo, quella di ‘circoscrivere’ l’oggetto dell’indagine, bensì, al contrario, sia necessario estendere, almeno apparentemente, il perimetro degli accertamenti”. Il provvedimento indica due tecniche: la creazione di un “falso target”, ottenuta estendendo le verifiche a una rosa più ampia di pratiche o di soggetti, e la “mimetizzazione” della segnalazione all’interno di un’operazione di compliance auditing programmata o straordinaria.

Si ritiene che questa indicazione, per quanto operativamente preziosa, apra un problema di coordinamento che il provvedimento non affronta espressamente e che merita di essere segnalato con cautela. L’estensione del perimetro delle verifiche comporta, per definizione, il trattamento di dati personali di soggetti ulteriori rispetto a quelli strettamente necessari all’accertamento, con una tensione rispetto al principio di minimizzazione di cui all’art. 5, paragrafo 1, lett. c), del GDPR. Non si ha evidenza, nel testo pubblicato, di una presa di posizione dell’Autorità su tale tensione. Secondo il parere di chi scrive, la composizione è concettualmente possibile — la finalità del trattamento “esteso” non è l’accertamento del singolo illecito ma la tutela della riservatezza del segnalante, che è a sua volta obbligo di legge — ma richiede che la scelta sia motivata e documentata nella valutazione d’impatto o, quantomeno, nel registro delle attività di trattamento e nella procedura interna. Una estensione non ragionata del perimetro istruttorio rischierebbe altrimenti di sostituire un rischio con un altro.

L’Autorità ha inoltre respinto due argomenti difensivi di frequente impiego. Il primo è quello dell’ammonimento alla riservatezza rivolto agli intervistati: il provvedimento osserva che l’organo “si è limitato, impropriamente, a responsabilizzare i soggetti sentiti, richiedendo loro di non divulgare ulteriormente le informazioni, che lo stesso organo di gestione (n.d.r.), senza alcuna cautela, aveva fornito loro”, e che la violazione si consuma a monte, perché “ognuno dei soggetti intervistati, pur mantenendo la massima riservatezza con gli altri componenti del team, poteva logicamente dedurre chi fosse il segnalante”. Il secondo è quello delle “best practice consolidate”: l’Autorità ribadisce che le attività da svolgere “debbano essere stabilite all’esito di attente valutazioni di congruità parametrate alle condizioni di contesto nelle quali si inserisce la segnalazione”, elencando fra gli elementi di contesto la posizione del segnalante e del segnalato, l’esposizione al rischio di disvelamento, la composizione del team, il rischio di condivisione impropria delle informazioni.

Due ulteriori rilievi completano il quadro. Il primo riguarda la scelta di sentire per primo proprio il soggetto segnalato: l’Autorità osserva che costui, convocato dall’organo whistleblowing su uno specifico contratto, “abbia appreso fisiologicamente quelle informazioni da cui poteva giungere, direttamente o indirettamente, all’identificazione” del segnalante. Il secondo riguarda il coinvolgimento del superiore gerarchico del segnalato, ritenuto privo di reale apporto informativo — secondo quanto riportato, l’esito del colloquio informale fu che egli “non è stato coinvolto nel servizio e non sa nulla” — e dunque qualificabile come “ingiustificata (e imprudente) circolazione delle informazioni sulla questione segnalata”.

Va rilevato un ultimo passaggio, di rilievo sistematico: l’Autorità osserva che, essendo il canale interno risultato conforme all’art. 4 del decreto e dotato di crittografia, “le specifiche del canale che, by design, garantiscono la riservatezza dell’identità del segnalante e degli altri dati contenuti nella segnalazione, non devono essere, in alcun modo, pregiudicate, by default, da attività imprudenti dei gestori delle segnalazioni”. In sostanza, la conformità tecnologica del canale non assorbe né surroga la correttezza della condotta umana a valle.

La commisurazione della sanzione

Sul piano sanzionatorio, l’Autorità ha richiamato l’art. 3 della legge 689/1981 — “nelle violazioni cui è applicabile una sanzione amministrativa ciascuno è responsabile della propria azione od omissione, cosciente e volontaria, sia essa dolosa o colposa” — e l’art. 5, secondo cui “quando più persone concorrono in una violazione amministrativa, ciascuna di esse soggiace alla sanzione per questa disposta, salvo che sia diversamente stabilito dalla legge”. Ne è derivata l’irrogazione individuale della sanzione a ciascuno dei tre componenti coinvolti, nella misura di 15.000 euro ciascuno, non essendo emersi differenti gradi di responsabilità.

La commisurazione, ancorata ai criteri dell’art. 11 della legge 689/1981, ha considerato come elementi di aggravamento la particolare gravità della violazione, in quanto idonea a determinare atti ritorsivi lesivi della sfera giuridica del segnalante, l’omissione di qualunque attività volta ad attenuare le conseguenze — i gestori, pur informati dal segnalante del timore di ritorsioni, avevano risposto escludendo “qualsivoglia azione ritorsiva” senza alcuna verifica — e il ruolo professionale rivestito dagli autori, tale da rendere non “effettiva” una sanzione determinata nel minimo edittale. Hanno operato in senso attenuante la natura colposa e non dolosa della condotta e la circostanza che i fatti siano anteriori all’adozione delle Linee guida di cui alla delibera n. 478 del 2025.

Quest’ultimo criterio merita una sottolineatura: l’Autorità ha riconosciuto rilevanza attenuante all’assenza, al momento dei fatti, di indirizzi interpretativi consolidati sui canali interni. Se ne può trarre, a contrario, che per le condotte successive alla pubblicazione di quelle Linee guida l’attenuante non sarà più invocabile — circostanza che, allo scrivente, appare di immediato rilievo pratico per tutti i gestori attualmente in carica.

Resta ammesso ricorso al Tribunale Amministrativo Regionale del Lazio nel termine di sessanta giorni, ai sensi dell’art. 119, comma 1, lettera b), del decreto legislativo 104/2010.

Indicazioni operative per DPO, funzioni di compliance e gestori del canale

Dalla delibera si traggono indicazioni che conviene esporre in forma discorsiva, come esigenze fra loro collegate più che come adempimenti isolati.

Il primo profilo è quello della mappatura del trattamento: la gestione delle segnalazioni interne va censita nel registro delle attività di trattamento come trattamento autonomo, con indicazione delle categorie di interessati — segnalante, segnalato, persone menzionate, persone informate dei fatti — delle finalità, dei termini di conservazione e delle misure di sicurezza, e con valutazione circa la necessità di una valutazione d’impatto ai sensi dell’art. 35 del GDPR, considerata la natura potenzialmente sistematica del trattamento e la gravità delle conseguenze per l’interessato. Discende direttamente da tale censimento la designazione formale dei gestori quali persone autorizzate ai sensi degli artt. 29 e 32, paragrafo 4, del GDPR e dell’art. 2-quaterdecies del d.lgs. 196/2003, come richiesto dall’art. 12, comma 2, del d.lgs. 24/2023: la designazione deve essere nominativa, deve coprire anche i soggetti chiamati ad affiancare temporaneamente i titolari del ruolo — profilo che, nella vicenda esaminata, l’Autorità ha censurato sotto il distinto angolo della trasparenza — e deve essere accompagnata da istruzioni scritte specifiche sulla gestione delle audizioni.

Strettamente collegata è l’esigenza di una procedura istruttoria scritta che non si limiti a riprodurre le scansioni dell’art. 5 del decreto, ma disciplini le modalità di conduzione degli accertamenti. Si suggerisce che tale procedura preveda, prima dell’avvio di qualunque attività esterna all’organo, una valutazione preliminare del rischio di disvelamento, condotta sui parametri indicati dall’Autorità: numerosità del team coinvolto, posizione relativa del segnalante al suo interno, esistenza di attriti noti, prevedibilità di inferenze da parte dei destinatari delle domande. La valutazione va verbalizzata, perché costituisce l’unico modo per dimostrare ex post che la scelta istruttoria è stata ponderata e non casuale.

Ne deriva il tema della strategia di de-identificazione, che la procedura deve contemplare come opzione ordinaria e non eccezionale: l’ampliamento del perimetro documentale o soggettivo delle verifiche, l’inserimento dell’accertamento in un’attività di audit programmata, la formulazione di domande che non rivelino l’oggetto puntuale della segnalazione. Si ritiene che tale strategia vada a sua volta documentata e motivata, anche per comporre la già richiamata tensione con il principio di minimizzazione: ciò che si estende non è la raccolta di dati per l’accertamento dell’illecito, ma il perimetro apparente dell’attività, e la distinzione va resa evidente negli atti interni.

Un ulteriore profilo, di rilievo centrale alla luce del provvedimento, è quello della verbalizzazione integrale delle audizioni, con sottoscrizione dell’intervistato ove possibile, indicazione dei presenti, oggetto delle domande e documenti esibiti. La verbalizzazione assolve una doppia funzione: dimostra lo svolgimento effettivo delle attività di verifica e analisi, sottraendo il gestore alla contestazione di cui all’art. 21, comma 1, lett. b), e consente di provare quali informazioni siano state effettivamente veicolate, sottraendolo alla contestazione di cui alla lettera a). L’assenza di verbali, nel caso esaminato, ha prodotto l’effetto paradossale di rendere decisiva la registrazione prodotta dalla controparte.

Vi è poi il tema, spesso trascurato, della gestione collegiale: ove l’organo sia collegiale, le audizioni vanno svolte in composizione collegiale o, se ciò non è possibile, la delega va formalizzata e il contenuto del colloquio riportato a verbale. I colloqui informali condotti da un singolo componente, come il provvedimento rileva, generano opacità e non sono dimostrabili.

Strettamente connesso è il presidio sul conflitto di interessi: la funzionalità di esclusione di un componente, prevista dalla piattaforma utilizzata nel caso di specie, rappresenta una buona pratica da generalizzare; va però accompagnata dalla trasparenza sulla composizione effettiva dell’organo in ciascun periodo, in modo che il segnalante possa esercitare consapevolmente la facoltà di esclusione.

Un capitolo autonomo merita la gestione dei segnali di ritorsione in corso di istruttoria. L’Autorità ha valorizzato in senso aggravante l’inerzia dei gestori di fronte alla comunicazione del timore di ritorsioni. Si suggerisce pertanto che la procedura preveda un obbligo di attivazione immediata in presenza di tali segnalazioni: verifica dell’esistenza di procedimenti disciplinari pendenti o avviati nei confronti del segnalante, interlocuzione con la funzione risorse umane nei limiti compatibili con la riservatezza, informativa all’organismo di vigilanza, documentazione delle verifiche svolte. Una risposta meramente rassicurante, come quella resa nel caso di specie, non costituisce adempimento.

Occorre inoltre presidiare la completezza della comunicazione degli esiti: l’omessa menzione di verifiche pur effettuate, qualificata dalla difesa come dimenticanza, ha esposto le conclusioni dell’organo a censure. La comunicazione al segnalante dovrebbe dare conto, nei limiti della riservatezza dovuta verso terzi, di tutti i profili esaminati, comprese le integrazioni ricevute oralmente in audizione, che vanno peraltro formalizzate in piattaforma a cura del gestore.

Si suggerisce, infine, una revisione dei canali tecnici sotto il profilo delle notifiche automatiche: nel caso esaminato, il segnalante ha appreso della modifica del contratto tramite una notifica applicativa che i colleghi ignoravano gli pervenisse. Il rilievo mostra che la riservatezza del procedimento whistleblowing interagisce con l’intera architettura informativa aziendale, e che la relativa analisi non può arrestarsi alla piattaforma dedicata. Parallelamente, la formazione dei gestori va aggiornata agli indirizzi delle Linee guida adottate con delibera n. 478 del 2025 e deve coprire, accanto ai profili giuridici e di integrità, le nozioni di identificabilità indiretta, single out e inferenza, che il provvedimento utilizza come parametro di giudizio.

Conclusioni

La delibera n. 344 del 9 settembre 2026 lascia aperte alcune questioni che meritano di essere seguite nella prassi successiva.

La prima riguarda la coesistenza fra il dovere di de-identificazione affermato dall’Autorità e il principio di minimizzazione del GDPR. Il provvedimento indica una direzione — estendere, almeno apparentemente, il perimetro degli accertamenti — ma non fornisce criteri per misurare fino a che punto tale estensione resti proporzionata. Non si ha evidenza, allo stato, di indirizzi dell’EDPB o del Garante specificamente dedicati a questo bilanciamento nel contesto whistleblowing; appare auspicabile che il punto sia affrontato in sede di aggiornamento delle Linee guida o mediante interlocuzione fra le due Autorità.

La seconda riguarda la natura dell’illecito di cui all’art. 12. L’Autorità lo qualifica come illecito di pericolo, fondato sull’attitudine astratta delle informazioni a consentire l’identificazione, salvo poi dimostrare anche l’identificazione in concreto. La costruzione è prudenziale, ma lascia impregiudicato il quesito su come si accerti l’attitudine astratta quando manchino, a differenza del caso di specie, indizi del disvelamento effettivo. Si ritiene che il criterio dei “mezzi ragionevolmente disponibili” del Considerando 26 fornisca un punto di partenza, ma la sua applicazione a contesti organizzativi ampi — in cui la platea dei potenziali segnalanti è vasta — richiederà verosimilmente ulteriori precisazioni.

La terza riguarda l’imputazione della responsabilità. La sanzione è stata irrogata individualmente ai componenti dell’organo, in applicazione degli artt. 3 e 5 della legge 689/1981, senza coinvolgimento dell’ente. Resta da verificare come tale impostazione si coordini con le dinamiche di garanzia e manleva interne alle organizzazioni e, soprattutto, con la necessità di assicurare che l’adeguatezza della procedura — che è responsabilità dell’ente — non si risolva nella sola esposizione personale di chi la applica. Il rilievo appare particolarmente sensibile per i componenti di organismi di vigilanza e per i professionisti esterni chiamati a svolgere la funzione di gestore.

La quarta riguarda la portata attenuante riconosciuta all’anteriorità dei fatti rispetto alle Linee guida del novembre 2025. Tale riconoscimento, condivisibile sul piano dell’affidamento, segna una soglia temporale oltre la quale il livello di diligenza esigibile è destinato a innalzarsi; appare pertanto ragionevole attendersi, nei procedimenti relativi a condotte successive, commisurazioni meno favorevoli a parità di elemento soggettivo.

Resta infine da osservare l’esito del giudizio del lavoro non ancora definitivo e del parallelo procedimento sanzionatorio per ritorsioni, sospeso alla data della delibera: la formazione del giudicato potrebbe restituire all’Autorità la possibilità di dare nuovo impulso a quel procedimento, con un accertamento che si innesterebbe sulla violazione dell’art. 12 qui già definita. Il coordinamento fra i due piani — quello dell’illecito di disvelamento, colposo e riferito ai gestori, e quello della ritorsione, riferito a chi ha adottato gli atti pregiudizievoli — costituisce, secondo il parere di chi scrive, uno dei terreni su cui la prassi applicativa del d.lgs. 24/2023 è destinata a precisarsi nei prossimi anni.

Riferimenti normativi

• Regolamento (UE) 2016/679 (GDPR)
• Direttiva (UE) 2019/1937
• decreto legislativo 10 marzo 2023, n. 24
• decreto legislativo 30 giugno 2003, n. 196
• decreto legislativo 2 luglio 2010, n. 104
• legge 6 novembre 2012, n. 190
• legge 7 agosto 1990, n. 241
• legge 24 novembre 1981, n. 689
• regio decreto 16 marzo 1942, n. 262 (codice civile)
• delibera ANAC n. 344 del 9 settembre 2026
• delibera ANAC n. 478 del 26 novembre 2025
• delibera ANAC n. 311 del 12 luglio 2023
• delibera ANAC n. 301 del 12 luglio 2023
• provvedimento del Garante per la protezione dei dati personali n. 402 del 24 novembre 2022
• Tribunale Amministrativo Regionale per il Lazio, sezione prima quater, sentenza n. 7507 del 24 aprile 2026
• Tribunale di Catania, sentenza n. 1391 del 2026
• Corte di cassazione penale, sezione V, sentenza n. 28559 del 2020

L'articolo Riservatezza del whistleblower e tecnica istruttoria del gestore: la delibera ANAC n. 344 del 9 settembre 2026 fra identificabilità indiretta, accountability e limiti del sindacato sul merito proviene da 01magazine.

Il Garante per la protezione dei dati personali ha pubblicato una versione aggiornata del vademecum dedicato al recupero crediti, documento di orientamento rivolto a creditori, società di recupero e operatori della filiera, nel quale l’Autorità ribadisce che il trattamento dei dati del debitore trova fondamento nel legittimo interesse del titolare ai sensi dell’articolo 6, paragrafo 1, lettera f), del Regolamento (UE) 2016/679, senza necessità di consenso, ma incontra il limite invalicabile dei principi dell’articolo 5 e della tutela della dignità e della riservatezza dell’interessato. Il documento qualifica come illecite alcune prassi diffuse — visite domiciliari o sul luogo di lavoro che rendano palese la posizione debitoria, solleciti telefonici preregistrati, avvisi di mora affissi in luoghi accessibili a terzi, buste recanti all’esterno diciture relative al recupero — e richiede controlli periodici sull’operato dei soggetti incaricati. Si sostiene in questa sede che il valore del vademecum risieda meno nella novità sostanziale delle indicazioni e più nella loro funzione di parametro di accountability verificabile, con effetti diretti sui contratti di esternalizzazione, sulle valutazioni di bilanciamento e sulla gestione dei reclami.

Premessa

In premessa va detto che il recupero dei crediti costituisce, da oltre vent’anni, uno dei terreni più frequentati dall’attività di controllo e sanzionatoria dell’Autorità italiana. Trattasi di un settore nel quale convergono interessi economici legittimi e rilevanti — la tutela del credito è presupposto della stabilità dei rapporti obbligatori e, nel comparto bancario e finanziario, anche della qualità degli attivi — e posizioni soggettive particolarmente esposte, perché l’informazione sull’inadempimento è, per sua natura, un’informazione reputazionalmente pregiudizievole.

Il Garante ha pubblicato nel settembre 2026 una versione aggiornata del proprio vademecum in materia, confermando l’impianto tradizionale: il trattamento non richiede il consenso del debitore, poiché fondato sul legittimo interesse del creditore; le modalità operative, però, devono rispettare i principi di liceità, correttezza e trasparenza, di esattezza, di adeguatezza e di minimizzazione; alcune prassi invasive sono qualificate come illecite; sul piano della responsabilizzazione, i creditori devono effettuare controlli periodici, verificare l’operato dei terzi incaricati e fornire un’informativa chiara.

Il perimetro dell’analisi che segue è circoscritto a tre profili. Il primo è l’inquadramento della base giuridica e del test di bilanciamento, con quanto ne consegue in termini di documentazione interna. Il secondo è la qualificazione delle modalità di contatto e la ragione giuridica per cui determinate condotte sono ritenute non conformi, ragione che — si ritiene — non si esaurisce nel GDPR ma intercetta anche la disciplina civilistica e, in casi estremi, quella penale. Il terzo è l’architettura dei ruoli lungo la filiera del recupero, che nella prassi è tutt’altro che lineare e che condiziona l’effettiva esigibilità degli obblighi di controllo richiamati dall’Autorità.

Non si ha evidenza di modifiche strutturali rispetto all’impostazione consolidata dell’Autorità: il documento appare, allo scrivente, piuttosto una riorganizzazione aggiornata di principi già affermati, il cui rilievo pratico sta nella sua utilizzabilità come parametro di riferimento nelle verifiche interne e nei procedimenti.

Il quadro normativo di riferimento

La disciplina europea

La norma centrale è l’articolo 6, paragrafo 1, lettera f), del Regolamento (UE) 2016/679, che consente il trattamento quando “è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali”. La struttura della disposizione è trifasica: occorre un interesse legittimo, occorre la necessità del trattamento rispetto a quell’interesse, occorre l’esito favorevole del bilanciamento con i diritti dell’interessato.

Che il recupero del credito integri un interesse legittimo non è, in linea generale, controverso. Il considerando 47 del Regolamento menziona espressamente, fra le ipotesi di legittimo interesse, situazioni nelle quali esiste “una relazione pertinente e appropriata tra l’interessato e il titolare del trattamento, ad esempio quando l’interessato è un cliente”; il medesimo considerando precisa che l’esistenza di un legittimo interesse “necessita comunque di un’attenta valutazione, anche in merito all’eventualità che un interessato possa ragionevolmente attendersi, al momento e nell’ambito della raccolta dei dati personali, che questi vengano trattati per una determinata finalità”. In sostanza, il debitore che ha stipulato un contratto può ragionevolmente attendersi che, in caso di inadempimento, i suoi dati siano trattati per il recupero della somma; non può ragionevolmente attendersi che l’inadempimento sia portato a conoscenza del datore di lavoro, dei vicini o dei familiari.

In termini più pragmatici, la distinzione si gioca non sull’an del trattamento ma sul quomodo. È questo lo snodo che il vademecum mette al centro: la legittimità della finalità non sana l’illegittimità delle modalità.

Il secondo pilastro è l’articolo 5 del Regolamento. Il paragrafo 1, lettera a), impone che i dati siano trattati “in modo lecito, corretto e trasparente nei confronti dell’interessato”; la lettera c) richiede che siano “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”; la lettera d) impone che siano “esatti e, se necessario, aggiornati”. Il paragrafo 2 codifica il principio di responsabilizzazione, stabilendo che il titolare “è competente per il rispetto del paragrafo 1 e in grado di comprovarlo”.

Appare chiaro allo scrivente che, nel contesto del recupero crediti, il principio di correttezza — “fairness”, nella versione inglese — assuma un ruolo autonomo e non meramente descrittivo. La correttezza è il canone attraverso il quale l’ordinamento valuta se la modalità concreta del trattamento sia rispettosa delle aspettative e della dignità dell’interessato, anche quando nessuna regola puntuale sia stata formalmente violata. Una telefonata preregistrata non viola, di per sé, un divieto espresso; viola il canone di correttezza nella misura in cui espone l’interessato al rischio che il contenuto sia udito da terzi senza alcuna possibilità di controllo.

Rilevano, inoltre, l’articolo 13 e l’articolo 14 del Regolamento in materia di informativa — il secondo quando i dati non siano stati raccolti presso l’interessato, ipotesi tutt’altro che teorica nel recupero, perché i recapiti possono provenire da fonti terze — e l’articolo 28, che disciplina il rapporto fra titolare e responsabile del trattamento e impone la stipulazione di un contratto o altro atto giuridico con i contenuti minimi ivi elencati. Non va trascurato l’articolo 21, paragrafo 1, che riconosce all’interessato il diritto di opporsi al trattamento fondato sul legittimo interesse, con l’onere in capo al titolare di dimostrare “motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria”.

Un ulteriore riferimento utile è l’articolo 22, in materia di processi decisionali automatizzati. Nella prassi del recupero, l’assegnazione dei debitori a classi di trattamento — frequenza dei contatti, canale utilizzato, soglia di passaggio alla fase legale — è sempre più spesso affidata a modelli di scoring. Si ritiene che, laddove tali modelli producano effetti che incidono significativamente sulla sfera dell’interessato senza intervento umano effettivo, l’articolo 22 debba essere oggetto di specifica valutazione, unitamente agli obblighi di informazione sulla logica utilizzata di cui agli articoli 13, paragrafo 2, lettera f), e 15, paragrafo 1, lettera h).

La disciplina nazionale

Il decreto legislativo 196/2003, come modificato dal decreto legislativo 101/2018, conserva rilievo sotto diversi aspetti. L’articolo 2-quaterdecies disciplina l’attribuzione di compiti e funzioni nell’ambito della struttura del titolare, consentendo la designazione di persone fisiche autorizzate al trattamento sotto l’autorità diretta del titolare o del responsabile: nelle strutture di recupero, dove operano reti di esattori e agenti, la corretta formalizzazione delle autorizzazioni è questione tutt’altro che formale.

L’articolo 166 del Codice disciplina il procedimento sanzionatorio dell’Autorità, mentre l’articolo 167 conserva la rilevanza penale del trattamento illecito di dati personali quando sia posto in essere al fine di trarre profitto o di arrecare danno all’interessato e dal fatto derivi nocumento. Si ritiene che l’ipotesi non sia remota nel settore in esame, specie quando la diffusione dell’informazione sull’inadempimento sia strumentalmente orientata a esercitare pressione.

Va poi richiamato il Testo unico delle leggi di pubblica sicurezza, regio decreto 773/1931, il cui articolo 115 subordina l’esercizio dell’attività di recupero stragiudiziale dei crediti per conto di terzi alla licenza dell’autorità di pubblica sicurezza. Trattasi di un profilo che interseca la materia della protezione dei dati sotto il profilo della liceità complessiva dell’attività: l’affidamento di incarichi di recupero a soggetti privi del titolo abilitativo espone il creditore committente a contestazioni che non si esauriscono nel piano amministrativo.

Sul versante civilistico e penale, le condotte eccedenti possono integrare, a seconda dell’intensità, la violenza privata di cui all’articolo 610 del codice penale, le molestie di cui all’articolo 660 del medesimo codice, o — nelle ipotesi di reiterazione idonea a generare un grave stato di ansia — gli atti persecutori di cui all’articolo 612-bis. Sul piano della responsabilità civile, rilevano l’articolo 2043 del codice civile e l’articolo 82 del Regolamento, quest’ultimo con il regime probatorio più favorevole all’interessato derivante dalla presunzione di responsabilità del titolare salvo prova liberatoria.

Nel rapporto con il consumatore, assume rilievo il decreto legislativo 206/2005, il cui articolo 24 definisce aggressiva la pratica commerciale che, mediante molestie, coercizione o indebito condizionamento, limita o è idonea a limitare considerevolmente la libertà di scelta del consumatore medio; l’articolo 26, comma 1, lettera f), qualifica come in ogni caso aggressiva la pratica consistente nell’effettuare visite personali al domicilio del consumatore ignorando gli inviti a non ripetersi, e la lettera g) quella consistente nel ricorso insistito e non richiesto a mezzi di comunicazione a distanza. In sostanza, la medesima condotta può essere contestata parallelamente dal Garante sul piano della protezione dei dati e dall’Autorità garante della concorrenza e del mercato sul piano delle pratiche commerciali scorrette.

I profili di settore

Nel comparto bancario e finanziario, la disciplina sulla trasparenza delle operazioni e dei servizi bancari emanata dalla Banca d’Italia e le disposizioni di vigilanza in materia di gestione dei crediti deteriorati compongono un ulteriore livello di regolazione. Rileva, inoltre, la Direttiva (UE) 2021/2167 sui gestori e acquirenti di crediti, che introduce un quadro armonizzato per l’attività di gestione dei crediti in sofferenza ceduti e, per quanto di stretto interesse in questa sede, contiene previsioni sul rapporto con il debitore improntate alla correttezza, alla diligenza e al divieto di molestie, oltre a obblighi informativi specifici in caso di cessione.

L’interazione fra tale disciplina e il Regolamento è, allo stato, un terreno di non immediata composizione. La cessione del credito comporta la comunicazione dei dati del debitore al cessionario: operazione che trova fondamento nella disciplina civilistica della cessione — articoli 1260 e seguenti del codice civile — ma che richiede comunque il rispetto degli obblighi informativi di cui all’articolo 14 del Regolamento in capo al cessionario, salvo le eccezioni del paragrafo 5.

Infine, va menzionato il Codice di condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilità e puntualità nei pagamenti, approvato dal Garante, che disciplina specificamente il trattamento nell’ambito dei sistemi di informazione creditizia. Si tratta di un perimetro distinto rispetto al recupero stragiudiziale, ma contiguo: la segnalazione a un sistema di informazione creditizia e l’attività di sollecito sono entrambe conseguenze dell’inadempimento, soggette però a regimi differenziati, e la confusione fra i due piani è fonte ricorrente di contestazioni.

Il contenuto del vademecum e la sua funzione

Il documento dell’Autorità si articola attorno ad alcuni nuclei: la base giuridica, i principi applicabili, le modalità vietate, le modalità consentite, le categorie di dati trattabili e gli adempimenti di accountability.

Sulla base giuridica, l’indicazione è netta: il consenso del debitore non è necessario, perché il trattamento si fonda sul legittimo interesse del titolare. Si tratta di una precisazione tutt’altro che ovvia nella prassi. Non è infrequente, nell’esperienza applicativa dei sistemi di gestione della privacy, imbattersi in informative che prospettano al cliente un consenso al trattamento per finalità di recupero crediti. Tale impostazione è, secondo il parere di chi scrive, errata e controproducente: errata perché il consenso prestato in un contesto nel quale l’interessato non ha reale libertà di scelta non soddisfa i requisiti dell’articolo 4, numero 11, e dell’articolo 7, paragrafo 4, del Regolamento; controproducente perché l’eventuale revoca del consenso — diritto garantito dall’articolo 7, paragrafo 3 — priverebbe il titolare della base giuridica dichiarata, costringendolo a un mutamento di qualificazione in corso di trattamento, operazione che l’Autorità e il Comitato europeo per la protezione dei dati hanno costantemente guardato con sfavore.

Sui principi, il richiamo all’articolo 5 è, nella sintesi disponibile, declinato in termini di liceità, correttezza e trasparenza, esattezza, adeguatezza e limitazione. Merita attenzione, fra questi, il principio di esattezza. Nel recupero crediti l’inesattezza del dato non è un vizio formale: trattare come debitore un soggetto che ha già pagato, o che non è mai stato obbligato per effetto di un’errata identificazione anagrafica, produce un pregiudizio immediato e concreto. L’allineamento fra i sistemi contabili del creditore e i sistemi operativi della società di recupero è, pertanto, un presidio di compliance prima ancora che un presidio gestionale: il ritardo nella comunicazione dell’avvenuto pagamento genera solleciti indebiti, e il sollecito indebito è trattamento di un dato inesatto.

Sulle modalità vietate, il vademecum elenca — secondo la fonte — le visite presso il domicilio o il luogo di lavoro che rendano conoscibile a terzi la posizione debitoria, le telefonate di sollecito preregistrate prive dell’intervento di un operatore in quanto potenzialmente ascoltabili da altre persone, l’affissione di avvisi di mora sulla porta di casa o nelle aree comuni condominiali, la corrispondenza recante all’esterno diciture quali “recupero crediti”.

Il filo conduttore, si ritiene, è univoco: il divieto non colpisce il contatto in sé, ma la sua idoneità a rendere l’inadempimento conoscibile a soggetti estranei al rapporto obbligatorio. In altre parole, l’informazione sul debito è destinata al debitore e solo a lui. Ogni modalità che aumenti, anche solo potenzialmente, la platea dei destinatari costituisce comunicazione di dati personali priva di base giuridica, perché il legittimo interesse del creditore copre il recupero, non la divulgazione.

La precisazione relativa alle telefonate preregistrate merita un’ulteriore riflessione, perché è quella meno intuitiva. Il messaggio registrato che riproduce il sollecito è problematico sotto un duplice profilo: in primo luogo, chi risponde potrebbe non essere il debitore, e il sistema automatico non è in grado di verificarlo prima di erogare il contenuto; in secondo luogo, il messaggio può essere lasciato in segreteria telefonica, supporto accessibile a chiunque abbia disponibilità dell’apparecchio. L’operatore umano, al contrario, può e deve verificare preliminarmente l’identità dell’interlocutore prima di rivelare il motivo della chiamata. In termini più concreti, lo script del contatto telefonico dovrebbe prevedere una fase di identificazione in cui non si menziona né il credito né il creditore, e una fase successiva, condizionata all’esito positivo dell’identificazione, in cui si espone l’oggetto.

Analoga logica presiede alla disciplina della corrispondenza: il plico deve essere chiuso e privo di indicazioni esterne riconducibili al recupero. Si osserva, incidentalmente, che il problema si estende alla denominazione sociale del mittente: una ragione sociale che contenga essa stessa un riferimento esplicito all’attività di recupero rende la busta parlante anche in assenza di diciture aggiuntive. Si suggerisce, in tali casi, di valutare l’utilizzo di indicazioni neutre, compatibilmente con gli obblighi di identificabilità del mittente.

Sulle modalità consentite, il vademecum conferma la liceità della ricerca del debitore, anche presso il luogo di lavoro, purché non siano divulgate informazioni sul debito. Trattasi di un’indicazione equilibrata: il creditore ha diritto di rintracciare il proprio debitore, e il luogo di lavoro può essere l’unico recapito noto; ciò che non è consentito è trasformare il datore di lavoro o i colleghi in veicoli di pressione.

Sulle categorie di dati trattabili, l’elencazione comprende i dati anagrafici, il codice fiscale, l’importo del credito, i recapiti forniti in sede contrattuale e i dati acquisiti da banche dati pubbliche, registri o fonti terze autorizzate. Il criterio sottostante è quello della minimizzazione: sono trattabili i dati necessari a identificare il debitore, quantificare la pretesa e raggiungere l’interessato. Restano estranei al perimetro, salvo diversa e specifica base giuridica, i dati relativi alla salute, alle convinzioni, alla vita familiare o sessuale, nonché le informazioni acquisite da fonti non autorizzate — si pensi alla raccolta sistematica di contenuti pubblicati sui social network per ricostruire abitudini e relazioni del debitore, prassi che, secondo il parere di chi scrive, difficilmente supererebbe il test di necessità e proporzionalità.

Merita una precisazione la nozione di “fonti terze autorizzate”. Non ogni dato astrattamente reperibile è lecitamente utilizzabile: l’accessibilità pubblica di un registro non equivale a una licenza generalizzata di riutilizzo per qualsiasi finalità. Il considerando 50 del Regolamento àncora la compatibilità del trattamento ulteriore a una valutazione che tiene conto, fra l’altro, del nesso fra le finalità, del contesto della raccolta e delle ragionevoli aspettative dell’interessato. In sostanza, la consultazione di un registro immobiliare per verificare la capienza patrimoniale in vista di un’azione esecutiva è operazione diversa — e diversamente valutabile — rispetto alla profilazione del debitore mediante aggregazione di fonti eterogenee.

La funzione dell’atto: soft law, valore giuridico ed effetti pratici

Una questione preliminare, spesso trascurata, riguarda la natura del vademecum. Non si tratta di un provvedimento prescrittivo adottato ai sensi dell’articolo 58, paragrafo 2, del Regolamento, né di un codice di condotta approvato ai sensi dell’articolo 40, né di un provvedimento generale avente efficacia erga omnes. Trattasi, per l’appunto, di un documento di orientamento, riconducibile alla funzione di promozione della consapevolezza che l’articolo 57, paragrafo 1, lettera b), del Regolamento attribuisce alle autorità di controllo, le quali devono promuovere “la consapevolezza del pubblico e la comprensione dei rischi, delle norme, delle garanzie e dei diritti in relazione al trattamento”.

Da ciò non discende, però, l’irrilevanza giuridica del documento. Appare chiaro allo scrivente che un vademecum dell’Autorità produca almeno tre effetti concreti.

Il primo è un effetto di orientamento della prassi: l’operatore che si conformi alle indicazioni riduce significativamente il rischio di contestazione, perché opera secondo l’interpretazione dichiarata dall’organo che sarà chiamato a valutarne la condotta.

Il secondo è un effetto sul piano dell’elemento soggettivo e della commisurazione della sanzione. L’articolo 83, paragrafo 2, del Regolamento impone di tenere conto, fra i criteri di determinazione della sanzione, del carattere doloso o colposo della violazione e del grado di cooperazione con l’autorità di controllo. L’esistenza di un documento pubblico e accessibile che qualifica espressamente come illecita una determinata prassi rende oggettivamente più difficile sostenere la buona fede dell’operatore che quella prassi continui ad adottare. In termini più pragmatici: dopo il vademecum, l’argomento dell’incertezza interpretativa si indebolisce.

Il terzo è un effetto probatorio indiretto nei giudizi civili risarcitori. Il danneggiato che agisca ai sensi dell’articolo 82 del Regolamento potrà invocare il documento come parametro di riferimento della diligenza esigibile, e il titolare che intenda fornire la prova liberatoria di cui al paragrafo 3 — dimostrare che l’evento dannoso non gli è in alcun modo imputabile — dovrà confrontarsi con quel parametro.

Si ritiene, pertanto, che la pubblicazione di una versione aggiornata del vademecum debba essere letta non come mera attività divulgativa ma come un atto che modifica, di fatto, il quadro degli oneri argomentativi delle parti.

L’architettura dei ruoli lungo la filiera del recupero

Il punto che, nell’esperienza applicativa, genera le maggiori difficoltà operative riguarda la qualificazione dei soggetti che intervengono nel processo.

Lo schema più lineare è quello dell’incarico di recupero stragiudiziale conferito dal creditore a una società specializzata che operi secondo le istruzioni del committente. In tale configurazione, il creditore resta titolare del trattamento e la società di recupero assume il ruolo di responsabile ai sensi dell’articolo 28 del Regolamento. Il contratto deve disciplinare, fra l’altro, l’oggetto e la durata del trattamento, la natura e la finalità, il tipo di dati e le categorie di interessati, nonché gli obblighi del responsabile fra i quali quello di trattare i dati “soltanto su istruzione documentata del titolare del trattamento” e quello di assistere il titolare nel dare seguito alle richieste degli interessati.

La realtà, però, è più articolata. In primo luogo, le società di recupero si avvalgono frequentemente di reti di esattori sul territorio, spesso lavoratori autonomi o piccole strutture: si pone la questione della loro qualificazione come sub-responsabili ai sensi dell’articolo 28, paragrafo 2 e paragrafo 4, con il connesso obbligo di autorizzazione da parte del titolare e di trasposizione dei medesimi obblighi contrattuali. L’articolo 28, paragrafo 4, è esplicito nel prevedere che, qualora il sub-responsabile ometta di adempiere ai propri obblighi, il responsabile iniziale “conserva nei confronti del titolare del trattamento l’intera responsabilità dell’adempimento degli obblighi dell’altro responsabile”.

In secondo luogo, quando il credito viene ceduto, il cessionario diventa titolare autonomo: non vi è più un rapporto di responsabile, ma una comunicazione di dati fra titolari, con conseguenti obblighi informativi autonomi e con una ridefinizione del perimetro di responsabilità. Si ritiene che questa distinzione — gestione per conto terzi, da un lato, titolarità a seguito di cessione, dall’altro — debba essere sempre esplicitata nella documentazione contrattuale e riflessa nel registro delle attività di trattamento di cui all’articolo 30, perché la confusione dei due modelli è fonte di contestazioni sia sul piano dell’informativa sia su quello della legittimazione passiva nei confronti dell’interessato.

In terzo luogo, si registra l’utilizzo crescente di piattaforme tecnologiche per la gestione delle campagne di contatto — sistemi di composizione automatica, piattaforme di messaggistica, servizi cloud di archiviazione documentale. Tali fornitori sono, di regola, responsabili del trattamento, e la loro configurazione tecnica incide direttamente sulla conformità: un sistema che invii messaggi di testo contenenti l’importo del debito, per esempio, riproduce in forma digitale il problema dell’avviso affisso alla porta, perché il contenuto è visibile sulla schermata di blocco del dispositivo a chiunque ne abbia la disponibilità materiale.

L’obbligo di “verificare l’operato dei soggetti terzi incaricati del recupero”, richiamato dal vademecum, va letto in questa prospettiva. Non si tratta di un adempimento documentale, ma di un’attività sostanziale di controllo che — secondo il parere di chi scrive — dovrebbe articolarsi su almeno tre livelli: la verifica preventiva dei requisiti del fornitore al momento della selezione, ai sensi dell’articolo 28, paragrafo 1, che richiede di ricorrere unicamente a responsabili che presentino “garanzie sufficienti”; il monitoraggio continuo durante l’esecuzione, basato su indicatori ricavabili dalla reportistica operativa e dal flusso dei reclami; le verifiche periodiche in loco o documentali previste dall’articolo 28, paragrafo 3, lettera h), che riconosce al titolare il diritto di contribuire alle attività di revisione, comprese le ispezioni.

Profili critici e questioni aperte

Il test di bilanciamento come documento vivo

Il primo profilo critico attiene alla documentazione del bilanciamento. L’affermazione secondo cui il trattamento si fonda sul legittimo interesse non è un punto di arrivo ma un punto di partenza: il titolare deve essere in grado di comprovare l’esito del bilanciamento, e tale dimostrazione passa per una valutazione documentata, comunemente denominata “legitimate interests assessment”.

Si osserva che, nella prassi, tali valutazioni sono spesso redatte in forma generica, come mere affermazioni di prevalenza dell’interesse del creditore. Appare chiaro allo scrivente che un documento siffatto non assolva alla funzione richiesta. Il bilanciamento deve essere parametrato alle concrete modalità operative: la valutazione della frequenza dei contatti, delle fasce orarie, dei canali utilizzati, della durata complessiva della campagna, del trattamento riservato ai debitori che contestino il credito o che versino in condizioni di particolare vulnerabilità. Un bilanciamento che non consideri la possibilità di frequenze di contatto eccessive non è un bilanciamento, ma una dichiarazione di intenti.

Si suggerisce, inoltre, di considerare che il test deve essere riesaminato ogni volta che muti un elemento rilevante: l’introduzione di un nuovo canale di contatto, l’adozione di uno strumento di scoring, l’estensione dell’attività a categorie di crediti con caratteristiche differenti.

La vulnerabilità dell’interessato

Un secondo profilo, allo stato non compiutamente risolto, riguarda la posizione del debitore vulnerabile. Il Regolamento non contiene una definizione generale di interessato vulnerabile, ma il concetto emerge in più punti — il considerando 75 menziona espressamente, fra i rischi, le situazioni in cui gli interessati siano “persone fisiche vulnerabili” — e le Linee guida del Gruppo di lavoro articolo 29 sulla valutazione d’impatto, fatte proprie dal Comitato europeo per la protezione dei dati, includono il trattamento di dati relativi a interessati vulnerabili fra i criteri indicativi di un trattamento ad alto rischio.

Nel recupero crediti, la vulnerabilità economica è per definizione presente. Si pone, pertanto, la questione se e in che misura il titolare debba modulare le proprie modalità operative in funzione di situazioni di particolare fragilità — sovraindebitamento, malattia, perdita del lavoro — di cui venga a conoscenza. Secondo il parere di chi scrive, la risposta affermativa discende dal principio di correttezza, ma la sua traduzione operativa pone un problema delicato: la registrazione dell’informazione sulla fragilità può comportare il trattamento di dati relativi alla salute, soggetti all’articolo 9 del Regolamento. La soluzione praticabile sembra consistere nella registrazione di un indicatore neutro — l’esistenza di una condizione che impone modalità di contatto attenuate — senza dettaglio della causa, accompagnata da istruzioni operative agli autorizzati.

Il rapporto con la disciplina delle comunicazioni elettroniche

Un terzo profilo riguarda il canale di contatto. Il sollecito di pagamento non è, in linea di principio, una comunicazione commerciale: non promuove beni o servizi, ma richiede l’adempimento di un’obbligazione esistente. Ne discende che la disciplina dell’articolo 130 del Codice in materia di protezione dei dati personali, attuativa della Direttiva 2002/58/CE, non dovrebbe trovare applicazione diretta.

Si ritiene, tuttavia, che la questione meriti cautela. Qualora la comunicazione di sollecito veicoli anche proposte — rinegoziazione, piani di rientro con oneri, offerte di prodotti finanziari — la natura dell’invio muta, e con essa il regime applicabile. Si suggerisce, pertanto, di mantenere una netta separazione fra i flussi di comunicazione, evitando di inserire contenuti promozionali nei messaggi di sollecito.

Un rilievo analogo concerne l’utilizzo di applicazioni di messaggistica istantanea. Tali canali presentano profili problematici sotto il duplice aspetto della sicurezza — l’articolo 32 del Regolamento impone misure tecniche e organizzative adeguate al rischio, e l’utilizzo di dispositivi personali degli operatori difficilmente le soddisfa — e della tracciabilità, poiché il registro delle comunicazioni effettuate è presupposto della dimostrabilità della condotta tenuta.

Il controllo sulla frequenza dei contatti

Un quarto profilo, che il vademecum tocca indirettamente attraverso il divieto di indebite pressioni, riguarda la quantificazione della soglia di tollerabilità. Non esiste, nell’ordinamento italiano, una norma che fissi un numero massimo di contatti giornalieri o settimanali. L’assenza di un parametro numerico espone l’operatore a un’incertezza non trascurabile.

Si ritiene che, in difetto di un criterio legale, il titolare debba autovincolarsi mediante una policy interna che fissi soglie ragionevoli, le renda verificabili attraverso i sistemi informativi e ne monitori il rispetto. L’autovincolo, oltre a ridurre il rischio sostanziale, costituisce elemento di prova dell’adozione di misure organizzative adeguate.

La trasparenza sull’origine dei dati

Un quinto profilo attiene all’informativa. Quando i recapiti del debitore siano acquisiti da fonti terze, l’articolo 14 del Regolamento impone di comunicare all’interessato, fra l’altro, “la fonte da cui hanno origine i dati personali e, se del caso, l’eventuale provenienza da fonti accessibili al pubblico”. Nella prassi, tale indicazione è frequentemente resa in termini generici. Si osserva che una formulazione eccessivamente vaga rischia di non soddisfare il requisito, e che la questione è destinata ad assumere rilievo crescente man mano che aumenta il ricorso a servizi di reperimento di recapiti.

Gli adempimenti per i titolari e il ruolo del responsabile della protezione dei dati

Sul piano operativo, l’indicazione dell’Autorità circa la necessità di controlli periodici e di verifica dell’operato dei terzi si traduce in una serie di attività che conviene esporre in sequenza logica, a partire dalla ricognizione e fino al monitoraggio.

Il punto di partenza è la mappatura dei trattamenti: occorre che il registro delle attività di trattamento di cui all’articolo 30 del Regolamento contenga una voce autonoma e adeguatamente dettagliata per l’attività di recupero crediti, distinta sia dalla gestione ordinaria del rapporto contrattuale sia dall’eventuale segnalazione ai sistemi di informazione creditizia, con indicazione delle categorie di dati, dei destinatari, dei termini di conservazione e delle misure di sicurezza. Alla mappatura si collega immediatamente la revisione della base giuridica, che impone di verificare se nelle informative e nella documentazione contrattuale in essere il recupero sia correttamente ricondotto al legittimo interesse e non, erroneamente, al consenso; ove si riscontri tale secondo scenario, si suggerisce di procedere a una correzione formale accompagnata da un aggiornamento dell’informativa, evitando il mutamento silenzioso della base giuridica.

Segue la redazione o l’aggiornamento del test di bilanciamento, che deve essere calibrato sulle modalità effettivamente adottate e non su un modello astratto, e che dovrebbe dare conto in modo esplicito delle misure di mitigazione adottate — limiti di frequenza, fasce orarie, script di identificazione, procedure per i debitori che contestino la pretesa — perché è proprio dall’esistenza di tali misure che dipende, in concreto, l’esito favorevole del bilanciamento. A questo documento si affianca la valutazione di necessità della DPIA ai sensi dell’articolo 35: non ogni attività di recupero richiede una valutazione d’impatto, ma la combinazione di trattamento su larga scala, interessati in condizione di vulnerabilità economica e utilizzo di tecniche di scoring o di profilazione rende, secondo il parere di chi scrive, altamente probabile il superamento della soglia, con la conseguenza che la decisione di non effettuarla dovrebbe essere a sua volta motivata e documentata.

Sul versante contrattuale, è necessaria la revisione degli accordi con le società di recupero, verificando che l’atto di nomina a responsabile contenga tutti gli elementi dell’articolo 28, paragrafo 3, ma soprattutto che le istruzioni documentate siano effettivamente specifiche e non limitate a un rinvio generico alla normativa: istruzioni utili sono quelle che vietano espressamente le prassi qualificate come illecite dall’Autorità, che impongono l’utilizzo di plichi anonimi, che prescrivono lo script di identificazione telefonica e che fissano i limiti di contatto. A ciò si aggiunge la disciplina della sub-responsabilità, con l’individuazione nominativa della rete di esattori o, in alternativa, con un meccanismo di autorizzazione generale accompagnato da obbligo di comunicazione preventiva delle variazioni e da diritto di opposizione del titolare.

L’attuazione pratica richiede poi la predisposizione degli script e dei modelli di comunicazione, attività che è bene non lasciare alla sola funzione commerciale: lo script telefonico deve prevedere una fase di identificazione priva di riferimenti al credito, i modelli di lettera devono essere privi di diciture esterne rivelatrici, i messaggi di testo devono limitarsi a un invito al contatto senza indicazione dell’importo e della causale. Parallelamente si impone la formazione e l’autorizzazione degli operatori ai sensi dell’articolo 29 del Regolamento e dell’articolo 2-quaterdecies del Codice, con contenuti che non si limitino ai principi generali ma affrontino i casi concreti ricorrenti: come comportarsi quando risponde un familiare, come gestire la richiesta di informazioni proveniente dal datore di lavoro, come reagire alla contestazione del credito.

Sul piano dei diritti, occorre la predisposizione di una procedura per le richieste degli interessati che tenga conto della specificità dell’opposizione ex articolo 21: l’opposizione al trattamento fondato sul legittimo interesse non comporta l’automatica cessazione dell’attività, ma impone al titolare una valutazione motivata circa l’esistenza di motivi legittimi cogenti, valutazione che deve essere documentata e comunicata all’interessato entro i termini dell’articolo 12, paragrafo 3. Analogamente rileva la gestione delle richieste di rettifica connesse alla contestazione del credito, rispetto alle quali si suggerisce di distinguere nettamente il piano della contestazione sostanziale della pretesa — che non si risolve con gli strumenti del Regolamento — dal piano dell’esattezza del dato, fermo restando che la pendenza di una contestazione documentata dovrebbe comportare quantomeno l’annotazione dello stato di controversia.

Di rilievo centrale è il monitoraggio della qualità del dato, che richiede procedure di allineamento tempestivo fra i sistemi del creditore e quelli dell’incaricato del recupero, con tempi di aggiornamento contrattualmente definiti e misurati, perché il sollecito inviato a chi ha già pagato è la fattispecie di violazione più frequente e, al tempo stesso, la più agevolmente evitabile. A questo si accompagna il presidio sui reclami, da intendersi non come attività di mero riscontro ma come fonte informativa per il controllo del fornitore: l’andamento del numero e della tipologia dei reclami per singolo incaricato costituisce l’indicatore più immediato dell’effettivo rispetto delle istruzioni impartite.

Sul versante della sicurezza, è richiesta la definizione delle misure tecniche e organizzative ai sensi dell’articolo 32, con attenzione specifica ai profili di accesso ai sistemi — gli operatori dovrebbero visualizzare esclusivamente le posizioni loro assegnate — alla registrazione degli accessi, alla cifratura dei flussi verso i fornitori e al divieto di utilizzo di dispositivi e account personali per le comunicazioni con i debitori. Vi si collega la definizione dei tempi di conservazione, materia nella quale si registra una diffusa tendenza alla conservazione indefinita: si ritiene che la conservazione debba essere parametrata ai termini di prescrizione del credito e alle esigenze difensive, con cancellazione o anonimizzazione delle registrazioni di contatto secondo un ciclo più breve rispetto alla documentazione contabile.

Infine, il programma di audit sui responsabili, che dovrebbe articolarsi in verifiche documentali periodiche e in almeno una verifica sostanziale sul campo per i fornitori più rilevanti, con esame a campione delle registrazioni delle telefonate, dei modelli di corrispondenza effettivamente utilizzati e delle evidenze di formazione del personale; e la rendicontazione agli organi di vertice, perché l’articolo 5, paragrafo 2, implica che il titolare — e dunque i suoi organi decisionali — sia in grado di comprovare la conformità, il che presuppone un flusso informativo strutturato.

Quanto al responsabile della protezione dei dati, i compiti di cui all’articolo 39 del Regolamento trovano in questa materia un campo di applicazione particolarmente concreto. La funzione di sorveglianza dell’osservanza — lettera b) — non si esaurisce nella verifica dell’esistenza dei documenti, ma richiede la rilevazione di scostamenti fra procedura dichiarata e prassi effettiva, scostamento che nel recupero crediti è fisiologico per effetto della pressione sui risultati. La funzione consultiva in materia di valutazione d’impatto — lettera c) — assume rilievo nella fase di introduzione di nuovi strumenti automatizzati. Si ritiene, inoltre, che il DPO debba essere strutturalmente coinvolto nella fase di selezione dei fornitori di servizi di recupero, perché la scelta del fornitore è, nella sostanza, una scelta di livello di rischio.

Conclusioni

L’aggiornamento del vademecum non introduce discontinuità rispetto all’orientamento consolidato dell’Autorità: ribadisce il legittimo interesse come base giuridica, richiama i principi dell’articolo 5, qualifica come illecite alcune prassi e chiede controlli sulla filiera. Il suo rilievo, si ritiene, è di ordine diverso: fornisce agli operatori un parametro esplicito e pubblico rispetto al quale misurare la propria organizzazione, e fornisce al tempo stesso agli interessati e ai loro difensori un riferimento argomentativo agevolmente spendibile.

Restano aperte, allo stato, alcune questioni che il documento, per la sua natura divulgativa, non poteva risolvere.

La prima riguarda la soglia quantitativa della pressione indebita. L’assenza di un parametro numerico — a differenza di quanto avviene in altri ordinamenti, dove la frequenza massima dei contatti è oggetto di disciplina espressa — lascia all’autovincolo del titolare e alla valutazione ex post dell’Autorità un margine ampio. Si ritiene che un intervento di soft law più analitico, eventualmente nella forma di un codice di condotta approvato ai sensi dell’articolo 40 del Regolamento e assistito da un organismo di monitoraggio ai sensi dell’articolo 41, potrebbe offrire maggiore certezza, con il beneficio aggiuntivo — previsto dall’articolo 83, paragrafo 2, lettera j) — della rilevanza dell’adesione al codice ai fini della commisurazione della sanzione.

La seconda riguarda il rapporto fra la disciplina della protezione dei dati e il quadro introdotto dalla Direttiva (UE) 2021/2167 in materia di gestori e acquirenti di crediti. La compresenza di obblighi di correttezza di fonte settoriale e di obblighi di fonte generale pone un problema di coordinamento fra autorità di vigilanza, che allo stato non risulta compiutamente definito. Non si ha evidenza di protocolli operativi fra le autorità interessate specificamente dedicati a questo profilo.

La terza riguarda l’impiego di sistemi automatizzati. L’applicazione del Regolamento (UE) 2024/1689 ai sistemi utilizzati nel recupero richiede una valutazione caso per caso: i sistemi destinati a valutare il merito creditizio delle persone fisiche sono espressamente ricondotti dall’allegato III del Regolamento alla categoria ad alto rischio, mentre la qualificazione degli strumenti impiegati nella sola fase di recupero — assegnazione delle priorità, scelta del canale, previsione della propensione al pagamento — non appare, allo stato, univocamente risolta. Si ritiene che la questione meriti attenzione in sede di progettazione, poiché la differenza di qualificazione comporta regimi di obblighi sensibilmente diversi.

La quarta, infine, riguarda il coordinamento fra il piano della protezione dei dati e quello della tutela del consumatore. La medesima condotta può formare oggetto di procedimenti paralleli davanti ad autorità distinte, con criteri di valutazione parzialmente sovrapposti. Si suggerisce, pertanto, che le valutazioni interne di conformità nel settore del recupero non siano confinate alla funzione privacy, ma coinvolgano stabilmente le funzioni di compliance normativa e di gestione del contenzioso, perché il rischio è, per sua natura, trasversale.

Riferimenti normativi

• Regolamento (UE) 2016/679 (GDPR)
• Regolamento (UE) 2024/1689 (AI Act)
• Direttiva (UE) 2021/2167
• Direttiva 2002/58/CE
• Regio decreto 18 giugno 1931, n. 773 (TULPS)
• Regio decreto 16 marzo 1942, n. 262 (codice civile)
• Regio decreto 19 ottobre 1930, n. 1398 (codice penale)
• Decreto legislativo 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali)
• Decreto legislativo 10 agosto 2018, n. 101
• Decreto legislativo 6 settembre 2005, n. 206 (Codice del consumo)
• Garante per la protezione dei dati personali, vademecum in materia di recupero crediti
• Garante per la protezione dei dati personali, Codice di condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilità e puntualità nei pagamenti
• Gruppo di lavoro articolo 29, Linee guida concernenti la valutazione di impatto sulla protezione dei dati (WP248 rev.01)

L'articolo Recupero crediti e protezione dei dati personali — il vademecum aggiornato del Garante privacy: legittimo interesse, dignità del debitore e responsabilizzazione della filiera proviene da 01magazine.

Con il provvedimento n. 710 del 23 settembre 2026 (doc. web n. 10302112) il Garante per la protezione dei dati personali ha dichiarato l’illiceità del trattamento posto in essere da IQVIA Solutions Italy S.r.l. nell’ambito del progetto di alimentazione del database “Longitudinal Patient Data” con informazioni estratte dai gestionali di circa ottocento medici di medicina generale, irrogando una sanzione amministrativa pecuniaria di sette milioni di euro e ingiungendo misure correttive da attuare in centoventi giorni. L’Autorità ha qualificato la società come titolare del trattamento ai sensi degli articoli 4, paragrafo 1, numero 7, e 24 del Regolamento (UE) 2016/679, sin dalla fase di raccolta, e ha ritenuto che i dati non fossero anonimi, rilevando violazioni degli articoli 5, 9, 13, 25, 28, 32 e 35. La tesi che si sostiene in questa sede è che il provvedimento costituisca un chiarimento di rilievo sistematico sul rapporto fra la sentenza della Corte di giustizia del 4 settembre 2025 nella causa C-413/23 P e la nozione di anonimizzazione relativa: la prospettiva del destinatario non è invocabile da chi ha determinato le misure di de-identificazione a monte.

Premessa

In premessa va detto che la vicenda esaminata dall’Autorità non riguarda, in senso proprio, una fuga di dati, né un attacco informatico, né una condotta dolosa. Trattasi, per l’appunto, di un caso di qualificazione giuridica: la domanda intorno alla quale ruota l’intero provvedimento è se un insieme di informazioni cliniche, prive di identificativi diretti, organizzate per record individuali e collegate nel tempo da un identificativo stabile, costituisca o non costituisca “dato personale” ai sensi dell’articolo 4, paragrafo 1, numero 1, del Regolamento (UE) 2016/679; e, in secondo luogo, chi debba rispondere delle scelte tecniche e organizzative che a quella qualificazione conducono.

Il perimetro dell’analisi è dunque duplice. Da un lato la titolarità: l’articolo 4, paragrafo 1, numero 7, del Regolamento definisce titolare il soggetto che “determina le finalità e i mezzi del trattamento”, e le Linee guida 07/2020 del Comitato europeo per la protezione dei dati ricordano che si tratta di un concetto funzionale, da accertare sulla base degli elementi di fatto e non negoziabile per via contrattuale. Dall’altro lato l’anonimizzazione: nozione che il Regolamento non definisce in positivo, ma che si ricava per differenza dal considerando 26, il quale esclude dall’applicazione della disciplina le informazioni che non si riferiscono “a una persona fisica identificata o identificabile”, e che la prassi interpretativa — dal Parere 05/2014 del Gruppo di lavoro articolo 29 alle Linee guida 2/2026 del Comitato richiamate nel provvedimento — ha declinato attraverso i tre criteri di singling out, linkability e inference.

Il provvedimento si colloca, inoltre, in una linea di continuità dichiarata con precedenti nazionali ed europei: il provvedimento del Garante del 1° giugno 2023, n. 226 , la sentenza del Tribunale di Milano del 10 maggio 2024 relativa alla vicenda THIN S.r.l. e, sul versante estero, il provvedimento della CNIL del 26 maggio 2026 nei confronti della società francese del medesimo gruppo.

Il progetto esaminato e la ricostruzione dei fatti operata dall’Autorità

L’istruttoria ha avuto origine da accertamenti ispettivi svolti presso la sede milanese di IQVIA Solutions Italy S.r.l., società appartenente al gruppo statunitense IQVIA Holdings Inc., e ha avuto ad oggetto la raccolta di dati finalizzata alla realizzazione di studi osservazionali sponsorizzati da aziende farmaceutiche, basati sulle informazioni dei pazienti di un panel di circa ottocento medici di medicina generale aderenti alla Società Italiana di Medicina Generale e delle cure primarie.

Il meccanismo, per come descritto nel provvedimento, è lineare nella sua architettura. Sul software gestionale di cartella clinica in uso presso il medico viene installato un componente aggiuntivo — l'”add-on” — sviluppato da una società terza, fornitrice del gestionale, su commissione della società. Il componente estrae periodicamente dal database del gestionale un insieme predefinito di informazioni, rimuovendo gli identificativi diretti quali nome, cognome e indirizzo, generalizzando la data di nascita al primo giorno del mese e sostituendo l’identità del paziente con un identificativo alfanumerico, il “Pat ID”, prodotto da un algoritmo proprietario mediante UUID a sedici byte. I dati così trattati confluiscono in un ambiente di staging e, successivamente, nel data warehouse proprietario della società, denominato “Longitudinal Patient Data”, articolato in tabelle relative ad anagrafica, prescrizioni, diagnosi, esami e numero di visite, per un ordine di grandezza — dichiarato in sede ispettiva — di milioni di record riferiti a oltre un milione di pazienti.

Due elementi del modello economico assumono rilievo nelle valutazioni dell’Autorità. Il primo è che il medico riceve gratuitamente l’abbonamento al software gestionale, il cui corrispettivo è versato dalla società al fornitore: a fronte dell’estrazione dei dati, dunque, il professionista ottiene un vantaggio economico e un insieme di servizi di razionalizzazione della propria attività ambulatoriale. Il secondo è che la società scientifica, comproprietaria del database secondo il contratto di collaborazione, riceve semestralmente un’estrazione destinata a finalità medico-scientifiche e assicura, in forza del rapporto associativo con i medici, il sostegno nel reclutamento e nel mantenimento del panel, così da garantire una base dati rappresentativa della popolazione italiana.

Nel corso dell’istruttoria è intervenuta, inoltre, la notifica di una violazione dei dati personali ai sensi dell’articolo 33 del Regolamento: la società ha rappresentato di aver scoperto che il flusso proveniente dai gestionali conteneva informazioni identificative inserite dai medici nei campi a testo libero, sfuggite al processo di de-identificazione. La comunicazione non autorizzata ha riguardato, secondo quanto riportato dalla fonte, dati direttamente identificativi — nome e cognome, data di nascita, codice fiscale, indirizzo postale, indirizzo di posta elettronica e numero di telefono — di 3.370 pazienti, con dati relativi allo stato di salute per 3.080 di essi; i file erano stati trasmessi anche alla società scientifica, che ne ha poi confermato la rimozione degli identificativi.

Il quadro normativo di riferimento

La disciplina europea sulla nozione di dato personale e sull’anonimizzazione

Il punto di partenza è l’articolo 4, paragrafo 1, numero 1, del Regolamento (UE) 2016/679, per il quale è dato personale “qualsiasi informazione riguardante una persona fisica identificata o identificabile”, precisandosi che si considera identificabile la persona che “può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale”. In sostanza, la nozione è relazionale: non descrive una proprietà intrinseca del dato, ma la possibilità di ricondurlo a una persona.

Accanto a essa l’articolo 4, paragrafo 1, numero 5, definisce la pseudonimizzazione come “il trattamento dei dati personali in modo tale che i dati personali non possano più essere attribuiti a un interessato specifico senza l’utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una persona fisica identificata o identificabile”. In termini più pragmatici, la pseudonimizzazione è una misura di sicurezza e di minimizzazione, non una uscita dal campo di applicazione della disciplina: lo ha affermato il Gruppo di lavoro articolo 29 nel Parere 05/2014 sulle tecniche di anonimizzazione, dove si legge che “la pseudonimizzazione non è un metodo di anonimizzazione” e che essa “si limita a ridurre la correlabilità di un insieme di dati all’identità originaria di una persona interessata, e rappresenta pertanto una misura di sicurezza utile”. Le Linee guida 01/2025 del Comitato europeo per la protezione dei dati sulla pseudonimizzazione, richiamate nel provvedimento nella versione sottoposta a consultazione, muovono nella stessa direzione.

La frontiera fra pseudonimizzazione e anonimizzazione è tracciata dal criterio dei mezzi ragionevolmente disponibili. Il provvedimento lo esprime in forma sintetica e condivisibile: il dato è anonimo soltanto se non consente l’identificazione diretta o indiretta tenuto conto di tutti i mezzi — economici, informativi, tecnologici, di competenza e di tempo — nella ragionevole disponibilità di chi tenti l’identificazione. Da qui i tre criteri operativi: un processo di anonimizzazione deve impedire di isolare una persona all’interno di un insieme, di collegare il dato a informazioni riferibili alla medesima persona presenti in un diverso insieme, e di dedurre dal dato nuove informazioni riferibili a un individuo. Le Linee guida 2/2026 del Comitato europeo sull’anonimizzazione, adottate il 7 luglio 2026 e all’epoca in consultazione pubblica, confermano tali criteri e aggiungono due precisazioni di rilievo: che la (re)identificazione “ha maggiori probabilità di successo su dati a livello di record con elevata dimensionalità e alta risoluzione”, e che il mancato soddisfacimento di uno dei criteri impone analisi ulteriori prima di poter concludere per l’anonimato.

Vi è un ulteriore passaggio, spesso sottovalutato nella prassi, che il provvedimento valorizza espressamente: l’anonimizzazione è essa stessa un trattamento di dati personali e necessita pertanto di un presupposto di liceità. Lo ha affermato il Comitato nel documento di risposta alla richiesta di chiarimenti della Commissione europea sull’applicazione coerente del Regolamento in materia di ricerca sanitaria, adottato il 2 febbraio 2021, e lo ha ribadito il Tribunale di Milano nella sentenza del 10 maggio 2024. In termini più concreti: non si può sostenere che, poiché l’esito del processo è un dato anonimo, il processo stesso sia estraneo alla disciplina; il dato in ingresso è personale, e chi lo trasforma compie un trattamento.

La giurisprudenza della Corte di giustizia e la questione dell’anonimato relativo

Il provvedimento dedica attenzione specifica alla sentenza della Corte di giustizia del 4 settembre 2025 nella causa C-413/23 P, relativa al Comitato di risoluzione unico, che la società ha invocato a propria difesa. La Corte ha affermato che i dati pseudonimizzati “non devono essere considerati, in ogni ipotesi e per ogni persona, come dati personali ai fini dell’applicazione del regolamento 2018/1725, poiché la pseudonimizzazione può, a seconda delle circostanze del caso, effettivamente impedire a persone diverse dal titolare del trattamento di identificare l’interessato, cosicché, per esse, quest’ultimo non sia o non sia più identificabile”.

La portata di tale affermazione va però letta congiuntamente alle condizioni che la Corte stessa ha enunciato. Perché i dati perdano carattere personale per un destinatario occorre, da un lato, che tale destinatario “non sia in grado di rimuovere tali misure in occasione di qualunque trattamento effettuato sotto il suo controllo” e, dall’altro, che “dette misure siano effettivamente idonee a impedire di attribuire i medesimi all’interessato anche mediante il ricorso ad altri mezzi di identificazione quali l’incrocio con altri elementi”. Si tratta, dunque, di una valutazione caso per caso, ancorata alle circostanze concrete, e non di una regola di esclusione automatica. Il provvedimento sottolinea, con argomentazione che appare allo scrivente fondata, che la Corte non ha inteso segnare una rottura rispetto a Breyer (sentenza del 19 ottobre 2016, causa C-582/14) e a OC contro Commissione (sentenza del 7 marzo 2024, causa C-479/22 P), ma collocarsi nella loro continuità, ricordando che “la prospettiva rilevante per valutare il carattere identificabile dell’interessato dipende essenzialmente dalle circostanze che caratterizzano il trattamento dei dati in ciascun caso particolare”.

Oltre a ciò, nella ricostruzione dell’Autorità le condizioni dell’anonimato relativo si articolano in tre requisiti cumulativi riferiti al destinatario: che non possa incidere sulle misure attuate dal primo titolare né essere messo in condizione di alterarle; che non sia in grado di reidentificare l’interessato nemmeno mediante incrocio con altri elementi; e che non trasferisca ulteriormente il dato ricevuto ad altri soggetti. Si tratta, come si vedrà, del punto in cui la difesa della società incontra la maggiore difficoltà.

Il quadro nazionale e procedimentale

Sul piano interno rilevano il decreto legislativo 196/2003, in particolare l’articolo 166 per la disciplina del procedimento sanzionatorio e della definizione agevolata, l’articolo 157 per la richiesta di informazioni e riscontro, l’articolo 154-bis per la pubblicazione dei provvedimenti e l’articolo 168 per le conseguenze delle false dichiarazioni al Garante. Trovano inoltre applicazione il Regolamento del Garante n. 1/2019 sulle procedure interne aventi rilevanza esterna, il Regolamento del Garante n. 2/2019 sui termini e le unità organizzative responsabili, e — per il rinvio operato dall’articolo 166 del Codice — la legge 689/1981, segnatamente gli articoli 18 e 27. Per l’impugnazione viene richiamato il combinato disposto dell’articolo 78 del Regolamento, dell’articolo 152 del Codice e dell’articolo 10 del decreto legislativo 150/2011.

L’accertamento della titolarità: come l’Autorità ha superato la tesi del partner tecnologico

La difesa principale della società è stata di natura qualificatoria: non titolare, ma mero “partner tecnologico — finanziario — operativo” di un progetto concepito e governato dalla società scientifica, nel quale essa sarebbe subentrata per effetto di operazioni societarie straordinarie, senza mai determinare finalità e mezzi essenziali, limitandosi a ricevere dati già anonimi e a standardizzarli. In audizione la tesi è stata sintetizzata nell’affermazione che esiste “uno scollegamento tra chi dà supporto economico e chi invece decide e incide su mezzi e finalità del trattamento”.

L’Autorità ha respinto l’impostazione muovendo dalla documentazione contrattuale, in applicazione del criterio funzionale delle Linee guida 07/2020, secondo le quali “la ripartizione dei ruoli dovrebbe di norma risultare da un’analisi degli elementi fattuali o delle circostanze del caso di specie e, in quanto tale, non è negoziabile”, e occorre considerare “tutte le circostanze di fatto pertinenti al fine di stabilire se uno specifico soggetto eserciti un’influenza determinante sul trattamento”.

Gli elementi valorizzati sono di diversa natura e vale la pena ripercorrerli, perché costituiscono una sorta di casistica applicativa utile al lettore professionale. In primo luogo la proprietà del database, transitata nel tempo attraverso le successive operazioni societarie fino alla società italiana del gruppo. In secondo luogo l’autoqualificazione: in tutti i documenti contrattuali la società si definisce titolare del trattamento, circostanza che l’Autorità rileva come difficilmente conciliabile con la tesi difensiva. In terzo luogo, e soprattutto, il contenuto degli obblighi assunti verso la società scientifica: il contratto prevede che la società si impegni “a continuare a fornire apposite istruzioni a XX affinché i dati inizialmente sensibili inseriti dai MMG attraverso il software siano resi anonimi prima del loro inserimento nel database LPD”. In quarto luogo il contratto con il fornitore del software, nel quale si legge che il fornitore “garantisce che i dati contenuti nel database dei Medici Collaboranti, estratti mediante il Software, subiranno un processo di anonimizzazione, prima dell’invio all’infrastruttura di IQVIA, così come descritto nell’allegato A del presente contratto”, allegato proposto dalla stessa società; fornitore che, per sua dichiarazione, è stato nominato responsabile del trattamento ai sensi dell’articolo 28 del Regolamento e ha realizzato il software “in base alle richieste di IQVIA”. In quinto luogo il modello contrattuale con i medici, dove si afferma che la metodologia di raccolta inserita nel programma è “sviluppata su indicazione di IQVIA”. In sesto luogo il fatto che la società abbia commissionato due valutazioni del rischio di reidentificazione a una società del gruppo e, nel corso del procedimento, un terzo documento aggiornato alla sentenza della Corte di giustizia.

A ciò l’Autorità aggiunge un argomento che appare allo scrivente il più significativo sul piano sistematico. L’operazione di de-identificazione non può essere imputata al medico, il quale è e resta titolare del trattamento dei dati dei propri pazienti per finalità di cura, e in quanto tale è “deputato a svolgere esclusivamente trattamenti finalizzati alla cura del paziente”. L’anonimizzazione, nella fattispecie, “è in concreto realizzata solo ed esclusivamente a beneficio di IQVIA”: non sono i medici ad anonimizzare i dati dei loro assistiti, bensì la società, la quale interviene presso i medici per trasformare dati di cui, in origine, non dispone. Di conseguenza, richiamando la sentenza FashionID del 29 luglio 2019 (causa C-40/17), l’Autorità ritiene che le operazioni compiute dai diversi attori partecipino a un medesimo trattamento articolato in più fasi, non separabili, del quale la società risponde sin dalla raccolta.

Va segnalato, per completezza, che l’Autorità ha ritenuto di non dare rilievo decisivo alla genesi storica del progetto. Pur essendo documentato che l’iniziativa nacque in ambito associativo e scientifico, l’Autorità osserva che la società scientifica “nel progetto in esame non ha mai avuto un ruolo primario nella guida del progetto” e che il suo contributo, certamente determinante nel reclutamento dei medici in virtù del rapporto associativo, “non può avere una rilevanza tecnologica”. Si tratta di una valutazione di fatto che, secondo il parere di chi scrive, risulta coerente con l’impianto funzionale delle Linee guida 07/2020, pur restando il punto sul quale una eventuale opposizione giudiziale potrebbe concentrarsi con maggiore efficacia, trattandosi di ricostruzione di circostanze storiche e di equilibri negoziali stratificati nel tempo.

La natura personale dei dati: la critica dell’Autorità alla k-anonymity e al Pat ID

La parte tecnicamente più densa del provvedimento riguarda l’inidoneità delle misure adottate a produrre un risultato di anonimato. L’Autorità sviluppa l’argomento su tre piani che conviene distinguere.

Il primo riguarda i limiti strutturali della k-anonymity. La nozione è introdotta nel provvedimento in termini essenziali: la k-anonymity impone che ogni combinazione di taluni attributi — per esempio località ed età — sia condivisa da almeno k individui, generando classi di equivalenza all’interno delle quali i soggetti risultano indistinguibili. Il rilievo dell’Autorità è che tale vincolo opera esclusivamente su un sottoinsieme degli attributi, i cosiddetti quasi-identificatori, e non sull’intero record. In sostanza: anche quando la classe di equivalenza rispetta formalmente il requisito di numerosità, i record che la compongono possono risultare di fatto unici se si considerano gli altri attributi, quali diagnosi, sequenze di ricoveri o pattern di assunzione di farmaci. In termini più pragmatici ancora, una classe di equivalenza di dieci pazienti maschi nati in un certo mese e residenti in una certa provincia non protegge nulla se uno solo di essi presenta una determinata combinazione di patologia rara e terapia. Da ciò la conclusione che “concentrare lo sforzo di anonimizzazione solo sui quasi-identificatori non è sufficiente quando altre caratteristiche visibili del record possono fungere esse stesse da identificatori di fatto”.

Il secondo piano riguarda l’identificativo stabile. Il Pat ID, generato da algoritmo casuale e non derivato da caratteristiche personali, è funzionale per costruzione a mantenere la singolarità: esso esiste proprio perché il paziente venga “seguito” longitudinalmente, come la stessa società ha dichiarato in sede ispettiva. L’Autorità osserva che l’applicazione di tecniche crittografiche all’identificativo non rimuove l’associazione univoca fra un individuo e il codice che lo rappresenta sempre nel medesimo modo all’interno della base dati: la cifratura rende inintelligibile la porzione del record direttamente collegata all’identità, ma l’unicità deriva dalla combinazione degli altri attributi, i quali, se invarianti nel tempo, risultano altamente distintivi. A corredo, il provvedimento registra che in sede ispettiva la società ha esibito un esempio in cui “un paziente che compare 34 volte nella tabella del DB relativa alle prescrizioni mediche” consente di tracciarne la storia clinica: circostanza che, nella lettura dell’Autorità, conferma la risoluzione individuale del dataset.

Il terzo piano è quello dell’ampiezza del patrimonio informativo. Il provvedimento elenca, descrivendo il contenuto del database, anno di nascita, sesso, stato civile, numero di figli, categoria socio-professionale, date delle visite, diagnosi, sintomi, allergie, peso, altezza, prescrizioni farmacologiche, vaccinazioni, esami e certificati di malattia, ai quali si aggiungono elementi di localizzazione. In un insieme di questo tipo — dati a livello di record, elevata dimensionalità, alta risoluzione, osservazione prolungata nel tempo — la capacità di isolare l’individuo è, secondo l’Autorità, strutturalmente presente, e i trattamenti “non resistono al rischio di individualizzazione”.

Su questa base l’Autorità distingue la posizione della società da quella esaminata dalla Corte di giustizia nella causa C-413/23 P: non si tratta di un semplice destinatario di dati pseudonimizzati, ma del soggetto responsabile dell’intero trattamento sin dalla raccolta, con un ruolo attivo nella definizione delle asserite misure di anonimizzazione. Il che, per la logica stessa delle condizioni enunciate dalla Corte, rende inapplicabile la prospettiva del destinatario: chi ha concorso a determinare le misure non può invocare l’impossibilità di rimuoverle. Appare chiaro allo scrivente che in questo passaggio risieda il contributo più rilevante del provvedimento al dibattito in corso sull’anonimato relativo, poiché esso circoscrive l’uso difensivo della sentenza del 4 settembre 2025, chiarendo che essa riguarda la posizione del ricevente e non quella di chi progetta la catena.

Vi è, infine, un rilievo che l’Autorità pone in termini di capacità e non di intenzione: è sufficiente che il titolare abbia la capacità di reidentificare con mezzi ragionevoli, a prescindere dall’effettiva intenzione di farlo, perché i dati si qualifichino come personali. Il riferimento, nel provvedimento, è alla decisione vincolante 1/2021 del Comitato europeo per la protezione dei dati e al provvedimento della CNIL del 26 maggio 2026 nei confronti della società francese del medesimo gruppo.

Le violazioni accertate

Dalla qualificazione dei dati come personali e della società come titolare discende, con una certa linearità, l’intero fascio delle violazioni contestate.

Quanto alla liceità, il provvedimento accerta la violazione degli articoli 5, paragrafo 1, lettera a), e 9 del Regolamento, per assenza di un presupposto normativo idoneo. L’argomento sul contratto merita attenzione perché ricorrente nella prassi: l’articolo 6, paragrafo 1, lettera b), può costituire base giuridica quando il trattamento è necessario all’esecuzione di un contratto “di cui l’interessato è parte”, mentre nel caso in esame — osserva l’Autorità — gli interessati non sono parte del contratto fra la società e i medici, ma i loro dati ne sono l’oggetto. Oltre a ciò, trattandosi di dati relativi alla salute, sarebbe stata necessaria una delle eccezioni di cui all’articolo 9, paragrafo 2, e segnatamente, in difetto di previsioni normative applicabili, il consenso esplicito, che non è stato raccolto. Si ricorda che l’Autorità ribadisce espressamente che anche la sola anonimizzazione, in quanto trattamento, richiede una base giuridica.

Quanto alla trasparenza, il provvedimento accerta la violazione degli articoli 5, paragrafo 1, lettera a), 12 e 13: la società ha omesso di fornire l’informativa, sul presupposto erroneo di trattare dati anonimi e che titolari fossero i medici; l’obbligo contrattuale posto in capo a questi ultimi di informare i pazienti dell’avvenuta “anonimizzazione” non può valere come adempimento della società, e in ogni caso l’informativa fornita non recava tutti gli elementi dell’articolo 13.

Quanto alla conservazione, l’Autorità accerta la violazione dell’articolo 5, paragrafo 1, lettera e). Rileva che i dati più risalenti nel database precedono di molti anni l’istruttoria, che la società non era a conoscenza di una procedura di cancellazione e che il documento prodotto come “Policy di conservazione dei dati” riportava un periodo di validità successivo agli accertamenti e si riferiva essenzialmente a documentazione amministrativa, fiscale e legale, limitandosi, nella sezione dedicata, a riprodurre genericamente la regola per cui i dati “devono essere conservati per un periodo di tempo non superiore a quello necessario agli scopi per i quali sono stati raccolti e trattati”. Il provvedimento prende atto favorevolmente delle misure successivamente assunte — fra cui la determinazione di un periodo di dieci anni — ma rileva che l’omessa definizione ex ante di idonee procedure di cancellazione ha comportato la conservazione oltre il necessario, avendo la stessa società dichiarato che la longitudinalità utile non supera il decennio.

Quanto ai ruoli, l’Autorità accerta la violazione dell’articolo 28 per non aver nominato i medici responsabili del trattamento in relazione all’invio dei dati dei propri pazienti nell’ambito dell’iniziativa. L’argomento è che il medico, per la fase della presunta anonimizzazione, non compie alcuna scelta su finalità e mezzi: l’autonomia decisionale che caratterizza il titolare risulta del tutto carente, mentre la società si è inserita nel rapporto fra il medico e il fornitore del gestionale per accedere alle informazioni raccolte nell’attività di cura. Si tratta della statuizione più delicata del provvedimento e vi si tornerà fra i profili critici.

Quanto alla sicurezza, il provvedimento accerta la violazione degli articoli 5, paragrafo 1, lettera f), e 32. Il fondamento è la vicenda dei campi a testo libero: l’estrazione non li escludeva, con la conseguenza che dati direttamente identificativi di pazienti e di alcuni medici sono confluiti nel database e sono stati ulteriormente comunicati alla società scientifica. Di particolare interesse è il rifiuto dell’Autorità di qualificare come “errore” dei medici l’inserimento di informazioni nei campi liberi: tale inserimento è coerente con la finalità assistenziale del gestionale, e la responsabilità va imputata a chi, avendo commissionato il componente di estrazione, non ha verificato che esso non prelevasse informazioni non pertinenti al progetto. In termini di articolo 32, paragrafo 1, lettere b) e d), mancavano misure idonee ad assicurare su base permanente la riservatezza e l’integrità e una procedura per testare e valutare regolarmente l’efficacia delle misure.

Quanto all’accountability e alla protezione dei dati dalla progettazione, l’Autorità accerta la violazione degli articoli 5, paragrafo 2, e 25. L’argomentazione richiama le Linee guida 4/2019 del Comitato europeo sull’articolo 25 e il considerando 78, per affermare che non basta l’applicazione di misure generiche, ma occorrono misure qualitativamente e quantitativamente efficaci, dotate ove possibile di indicatori di prestazione che ne dimostrino l’efficacia, e soggette a revisione periodica, obbligo che si estende anche ai sistemi preesistenti all’applicazione del Regolamento. Nel caso concreto l’Autorità rileva che la società si è basata esclusivamente su valutazioni generiche condotte da una società del gruppo, accettando in modo passivo l’asserita natura anonima delle informazioni, nonostante i precedenti amministrativi e giurisdizionali intervenuti sul tema, e che non risultano analisi condotte su criteri oggettivi e indicatori misurabili, neppure per verificare in via preliminare — anche con strumenti automatizzati — la presenza di campi liberi o per stimare quantitativamente l’occorrenza percentuale di casi di single-out.

Quanto alla valutazione d’impatto, l’Autorità accerta la violazione dell’articolo 35, richiamando le Linee guida WP 248 rev. 01 e rilevando la sicura presenza di almeno due criteri — dati aventi carattere altamente personale e interessati vulnerabili, categoria nella quale rientrano i pazienti — nonché la potenziale ricorrenza del trattamento su larga scala e dell’uso innovativo di soluzioni tecnologiche. La valutazione era stata soltanto avviata e non è stata prodotta nel corso dell’istruttoria.

La sanzione, il perimetro soggettivo e le misure correttive

In ordine alla quantificazione, il provvedimento applica l’articolo 83, paragrafo 3, del Regolamento, trattandosi di violazioni conseguenti a un’unica condotta, con riferimento al massimo edittale previsto dal paragrafo 5 — venti milioni di euro o, se superiore, il 4% del fatturato mondiale totale annuo dell’esercizio precedente, per le violazioni dei principi, delle basi giuridiche, dei diritti degli interessati e degli obblighi ivi elencati. Per la determinazione di tale massimo l’Autorità assume come riferimento il fatturato risultante dall’ultimo bilancio consolidato della controllante statunitense, sulla base della nozione di impresa degli articoli 101 e 102 del Trattato sul funzionamento dell’Unione europea, del considerando 150 del Regolamento, delle Linee guida 4/2022 del Comitato europeo sul calcolo delle sanzioni e della presunzione di influenza determinante enunciata dalla Corte di giustizia nella sentenza del 10 settembre 2009 nella causa C-97/08 P per le controllate interamente possedute. A sostegno della configurazione unitaria dell’entità economica l’Autorità valorizza anche la presentazione del gruppo sul proprio sito e la circostanza che la documentazione tecnica sul rischio di reidentificazione sia stata elaborata da un’altra società del gruppo.

Fra i criteri dell’articolo 83, paragrafo 2, l’Autorità considera la gravità, in relazione alla natura dei principi violati, alla pluralità di condotte protratte nel tempo, all’elevato numero di interessati e alla categoria dei dati, nonché il carattere colposo della violazione come fattore aggravante. Sul versante attenuante vengono valorizzate le verifiche sul rischio di reidentificazione svolte nel tempo, la sospensione della trasmissione dei dati da parte dei medici, le misure rafforzate di pseudonimizzazione, l’assenza di precedenti pertinenti e di provvedimenti ex articolo 58, l’assenza di reclami o segnalazioni e la cooperazione dimostrata nel procedimento. L’esito è una sanzione di sette milioni di euro, determinata tenendo conto, fra l’altro, della circostanza che il database costituisce risorsa di riferimento per l’informazione sanitaria in Italia e a livello internazionale e dell’esigenza di limitare l’impatto economico sulle esigenze organizzative e funzionali della società. È disposta inoltre la sanzione accessoria della pubblicazione, ai sensi dell’articolo 166, comma 7, del Codice e dell’articolo 16 del Regolamento del Garante n. 1/2019.

Le misure correttive, ingiunte ai sensi dell’articolo 58, paragrafo 2, lettera d), con riscontro documentato entro centoventi giorni ai sensi dell’articolo 58, paragrafo 1, lettera a), del Regolamento e dell’articolo 157 del Codice, seguono una struttura alternativa che merita di essere segnalata. Se la società intende proseguire l’attività nei termini esaminati, deve individuare una base giuridica idonea per il trattamento dei dati dei pazienti, compresa l’eventuale anonimizzazione, adempiere agli obblighi informativi ai sensi dell’articolo 13, svolgere la valutazione d’impatto ai sensi dell’articolo 35 e nominare i medici responsabili del trattamento ai sensi dell’articolo 28. In alternativa, il processo di de-identificazione deve essere svolto dai medici, con base giuridica e informativa a loro carico, e secondo prescrizioni tecniche puntuali: determinazione indipendente delle misure di pseudonimizzazione da parte dei mittenti, con elemento casuale di adeguata complessità documentato e valore codificato privo di significato semantico dal punto di vista della società; individuazione concordata dei quasi-identificatori con classi di equivalenza di numerosità non inferiore a dieci unità; valutazione specifica delle variabili residue rispetto alla capacità di osservazione e misura della società, con tre possibili esiti alternativi — inclusione fra i quasi-identificatori nel rispetto della medesima cardinalità minima, trattamento mediante tecniche di elaborazione distribuita che impediscano l’acquisizione del dato originario in chiaro, quali protocolli di secure multiparty computation o equivalenti, oppure rimozione. Infine, in caso di ulteriore comunicazione a terzi, la società assume la posizione di mittente e resta soggetta alle medesime prescrizioni.

Secondo il parere di chi scrive, questa parte del provvedimento è destinata a produrre effetti che eccedono il caso concreto: il Garante indica, per la prima volta in termini così espliciti, una soglia numerica minima di cardinalità delle classi di equivalenza e menziona il calcolo multipartito sicuro come tecnica idonea a interrompere la disponibilità del dato in chiaro. Trattasi di indicazioni che, pur formulate nel contesto di un’ingiunzione individuale, è prevedibile vengano assunte come parametro di riferimento nelle valutazioni di conformità dei progetti di secondary use dei dati sanitari.

Profili critici

Alcuni passaggi meritano una considerazione più problematica, formulata in termini dubitativi.

Il primo riguarda la nomina dei medici come responsabili del trattamento. La costruzione è coerente con la premessa — nella fase di estrazione il medico non esercita alcuna autonomia decisionale — ma genera una tensione con la posizione istituzionale del medico di medicina generale, che è titolare autonomo per le finalità di cura e opera sotto vincoli deontologici e di segreto professionale. Non si ha evidenza, nel testo del provvedimento, di una riflessione sul modo in cui l’istruzione impartita da un soggetto privato possa conciliarsi con l’autonomia clinica; né è del tutto chiaro se la responsabilità ai sensi dell’articolo 28 riguardi soltanto la fase dell’estrazione e della de-identificazione, o si estenda a profili ulteriori. Si ritiene che, nell’attuazione, la delimitazione oggettiva dell’incarico — per singole operazioni, con istruzioni documentate e circoscritte — sia il profilo da presidiare con maggiore cura.

Il secondo riguarda l’articolazione temporale. La società ha dedotto di aver avviato il trattamento in epoca anteriore alla piena applicazione del Regolamento e di aver interrotto l’alimentazione del database a seguito del provvedimento del 2023 e della sentenza del Tribunale di Milano del 10 maggio 2024. L’Autorità ha respinto la rilevanza del primo argomento richiamando, con le Linee guida 4/2019, l’applicabilità degli obblighi di verifica e aggiornamento anche ai sistemi preesistenti, e ha valorizzato l’interruzione come circostanza attenuante. La soluzione appare equilibrata; resta però che l’oscuramento delle date nel testo pubblicato non consente al lettore di ricostruire con precisione l’ampiezza temporale della condotta sanzionata, il che limita la possibilità di apprezzare la proporzionalità della misura.

Il terzo riguarda l’affidamento. Il provvedimento afferma che la rilevanza della società e le competenze specialistiche richieste dall’anonimizzazione di grandi volumi di dati sanitari “hanno giustificato il legittimo affidamento sia dei MMG che di SIMG sulle funzionalità dell’Add-on”. L’argomento è comprensibile nella logica dell’allocazione della responsabilità, ma apre una questione generale: se e in quale misura un titolare possa invocare l’affidamento su un fornitore tecnologico qualificato. L’impressione che si ricava è che il Garante lo ammetta per i soggetti che non disponevano né dei mezzi né delle competenze per una verifica autonoma, e lo neghi a chi quelle competenze possiede e governa la catena contrattuale. Si tratta, secondo il parere di chi scrive, di un criterio ragionevole ma dai contorni non del tutto nitidi, che meriterebbe ulteriori precisazioni in futuri provvedimenti.

Il quarto riguarda il rapporto fra accertamento dell’inidoneità delle misure e prova della reidentificabilità. L’Autorità fonda la qualificazione dei dati come personali su un’argomentazione di tipo strutturale — limiti della k-anonymity, stabilità dell’identificativo, elevata dimensionalità — senza che risulti dal testo la dimostrazione sperimentale di una reidentificazione effettiva. Il che è coerente con il criterio di capacità e con il considerando 26, ma non si ha evidenza, nel provvedimento, di una stima quantitativa del rischio contrapposta a quella prodotta dalla società, che indicava un valore finale pari a tre su una scala non esplicitata nel testo. Appare chiaro allo scrivente che in sede di eventuale opposizione il confronto si svolgerà proprio su questo terreno metodologico, e che la questione — quale onere dimostrativo gravi rispettivamente sull’autorità e sul titolare quando si controverte sull’anonimato — è fra le più rilevanti che il provvedimento lascia aperte.

Il quinto riguarda l’interferenza con la ricerca. Il database era utilizzato per studi farmacoepidemiologici e di economia sanitaria, e l’Autorità ne riconosce espressamente la rilevanza nella graduazione della sanzione. Resta che l’articolo 89 del Regolamento, richiamato dal provvedimento nella parte sulla minimizzazione e sulla conservazione, presuppone comunque l’individuazione di una base giuridica e di garanzie adeguate, che nel caso non sono state rinvenute. La vicenda mostra, in termini più concreti, che la qualificazione di un progetto come “ricerca” non vale di per sé a fondarne la liceità, e che la scelta di costruire il secondary use sul presupposto dell’anonimato — anziché su un presupposto di liceità esplicito — espone l’intera iniziativa a un’esposizione sanzionatoria che investe tutte le fasi del trattamento.

Adempimenti per DPO e imprese

Per quanto di stretto interesse in questa sede, la prima indicazione operativa riguarda la riqualificazione dei presupposti: si suggerisce di sottoporre a verifica ogni progetto che si fondi, in tutto o in parte, sull’assunto che i dati trattati siano anonimi, muovendo dalla domanda se tale assunto sia stato formalizzato in un documento di valutazione autonomo e aggiornato, o se sia soltanto enunciato nelle premesse di un contratto. Il provvedimento mostra che l’affermazione contrattuale dell’anonimato non ha valore qualificatorio, e che le clausole che attribuiscono a terzi la garanzia dell’anonimizzazione non spostano la responsabilità. Da questa verifica deriva, come secondo passaggio, la ricostruzione effettiva dei ruoli, da condurre non sulla base delle etichette adottate ma degli indici funzionali che l’Autorità ha valorizzato: chi è proprietario del database di destinazione, chi ha scelto e remunera il fornitore tecnologico, chi ha redatto gli allegati tecnici che descrivono il processo di de-identificazione, chi ha commissionato le valutazioni del rischio di reidentificazione, chi beneficia economicamente del risultato. Si ritiene che, ove la risposta a più di uno di questi interrogativi conduca al medesimo soggetto, la tesi del mero partner tecnologico sia difficilmente sostenibile.

Segue, sul piano documentale, il tema della valutazione del rischio di reidentificazione, che il provvedimento esige strutturata e non generica. In termini più pragmatici, si suggerisce di articolarla secondo i tre criteri di singling out, linkability e inference, dando conto separatamente di ciascuno; di non limitare l’analisi ai quasi-identificatori ma estenderla agli attributi del payload clinico, verificando se diagnosi, sequenze terapeutiche o pattern prescrittivi possano costituire identificatori di fatto; di esplicitare la cardinalità delle classi di equivalenza e la quota di record che risultano unici; e di dichiarare le fonti esterne considerate nell’analisi di collegabilità, con la motivazione della loro inclusione o esclusione. L’Autorità ha censurato l’uso di valutazioni condotte da società del medesimo gruppo e ritenute generiche: appare opportuno, pertanto, corredare l’analisi di indicatori misurabili e, ove possibile, di una verifica indipendente, in coerenza con quanto le Linee guida 4/2019 richiedono in termini di dimostrabilità dell’efficacia delle misure.

Un capitolo autonomo merita la gestione dei campi a testo libero, che il provvedimento tratta come vera e propria carenza di sicurezza ai sensi dell’articolo 32, paragrafo 1, lettere b) e d). In concreto, si suggerisce di escludere a monte tali campi dai tracciati di estrazione, di documentare tale esclusione negli allegati tecnici contrattuali e, soprattutto, di prevedere controlli automatizzati ex post sul dataset di destinazione, orientati al rilevamento di stringhe compatibili con identificativi diretti — codici fiscali, numeri di telefono, indirizzi di posta elettronica, pattern onomastici. Il rilievo dell’Autorità secondo cui l’inserimento da parte del medico non è un errore, essendo coerente con la finalità assistenziale, comporta che l’assenza di filtri non possa essere scaricata sul soggetto a valle della catena.

Parallelamente va affrontata la governance contrattuale della catena tecnologica. Si ritiene necessario verificare che gli atti di nomina dei responsabili ai sensi dell’articolo 28 coprano effettivamente le operazioni svolte — nel caso esaminato il fornitore del gestionale era nominato responsabile per l’attività di onboarding, riferita anche ai dati dei pazienti — e che le istruzioni impartite siano documentate, specifiche e aggiornate rispetto all’evoluzione del processo. Oltre a ciò, laddove nella catena intervenga un titolare autonomo che è anche professionista sanitario, si suggerisce una delimitazione oggettiva dell’incarico che distingua con chiarezza i trattamenti per finalità di cura, rispetto ai quali il medico resta titolare, dalle operazioni di estrazione e de-identificazione eseguite per conto del committente.

Sul versante della base giuridica e della trasparenza, l’insegnamento del provvedimento è che l’anonimizzazione, essendo un trattamento, richiede un presupposto di liceità autonomo; che il contratto fra titolare e intermediario non può fungere da base giuridica rispetto a interessati che ne sono oggetto e non parte; e che, in presenza di dati relativi alla salute, occorre individuare una delle eccezioni dell’articolo 9, paragrafo 2, con il consenso esplicito quale opzione residuale in assenza di previsioni normative applicabili. Di conseguenza, si suggerisce di rivedere le informative in modo che gli elementi dell’articolo 13 siano effettivamente presenti e che l’indicazione del titolare corrisponda all’assetto reale, evitando la formulazione — censurata nel caso di specie — che si limita ad annunciare al paziente la futura “anonimizzazione” dei suoi dati.

Quanto alla limitazione della conservazione, il provvedimento richiede una politica che sia effettivamente riferita ai dati personali e non alla documentazione amministrativa, che indichi termini determinati per ciascuna categoria di dato e finalità, e che sia accompagnata da procedure tecniche di cancellazione verificabili. Si segnala, per il suo valore pratico, il rilievo secondo cui la dichiarazione del titolare circa la longitudinalità utile — dieci anni, nel caso esaminato — costituisce il parametro alla luce del quale la conservazione ulteriore è stata ritenuta eccedente: in altri termini, le dichiarazioni rese in sede ispettiva vengono utilizzate come misura dell’adeguatezza dei propri stessi comportamenti.

Resta la valutazione d’impatto, che nel provvedimento è contestata non per inadeguatezza ma per incompletezza: la società ne aveva avviato l’elaborazione senza concluderla. In presenza di trattamenti che cumulano dati relativi alla salute, interessati vulnerabili, larga scala e soluzioni tecnologiche innovative, secondo i criteri delle Linee guida WP 248 rev. 01, la valutazione è dovuta e deve precedere il trattamento; si ritiene inoltre, alla luce della parte del provvedimento dedicata all’articolo 25, che essa vada riaperta a fronte di mutamenti rilevanti del quadro interpretativo, quali l’adozione di nuove linee guida del Comitato europeo o la pronuncia di sentenze della Corte di giustizia che incidano sulla nozione di dato personale. Infine, per i gruppi multinazionali, assume rilievo il monitoraggio dei precedenti europei: l’Autorità ha valorizzato in senso sfavorevole la circostanza che la società non avesse svolto ulteriori analisi nonostante i provvedimenti nazionali ed esteri intervenuti sul tema, con esplicito richiamo al provvedimento della CNIL del 26 maggio 2026. La sorveglianza sulle decisioni delle autorità di altri Stati membri che riguardino società del medesimo gruppo o modelli di business analoghi costituisce, dunque, un elemento dell’accountability documentabile in sede di audit.

Conclusioni

Il provvedimento lascia aperte alcune questioni che è prevedibile tornino all’attenzione degli operatori nei prossimi mesi.

La prima è la delimitazione dell’anonimato relativo. L’Autorità ha escluso che la società potesse giovarsi della prospettiva del destinatario, perché titolare dell’intera catena; resta da chiarire quale sia la sorte dei soggetti che ricevono dataset de-identificati da terzi senza aver concorso alla progettazione delle misure, e in particolare se il requisito enunciato nella ricostruzione dell’Autorità — l’impossibilità di comunicare ulteriormente il dato ricevuto — costituisca condizione necessaria dell’anonimato relativo o soltanto indice di una valutazione complessiva. La questione è tutt’altro che teorica per gli intermediari di dati sanitari e per i consorzi di ricerca multicentrici.

La seconda riguarda la soglia di cardinalità indicata nelle misure correttive. L’individuazione di una numerosità minima delle classi di equivalenza non inferiore a dieci unità è prescrizione specifica rivolta a un titolare determinato, non regola generale; non si ha evidenza, nel testo, delle ragioni metodologiche che hanno condotto a quel valore. È però verosimile che essa venga assunta come riferimento di prassi, e appare opportuno che una futura presa di posizione dell’Autorità o del Comitato europeo ne chiarisca il fondamento e i limiti di trasferibilità ad altri contesti.

La terza concerne la sostenibilità del modello alternativo proposto. Richiedere che la de-identificazione sia determinata autonomamente dai medici mittenti, con selezione indipendente degli attributi e meccanismi di codifica documentati, presuppone presso lo studio di medicina generale una capacità tecnica e organizzativa che, nell’esperienza applicativa dei sistemi di gestione, non è agevole assumere come diffusa. Si ritiene che l’attuazione concreta di tale alternativa passerà necessariamente per il ricorso a strumenti standardizzati, con il rischio di riprodurre — sotto diversa veste — la medesima concentrazione delle scelte tecniche in capo al soggetto che fornisce lo strumento. Il nodo, in altri termini, non è soltanto giuridico ma di disegno istituzionale, e rinvia al tema più ampio dell’assetto che il riutilizzo secondario dei dati sanitari assumerà con la progressiva attuazione dello spazio europeo dei dati sanitari. [Nota redazionale: verificare, alla data di pubblicazione, lo stato di applicazione del regolamento sullo spazio europeo dei dati sanitari e delle relative scadenze.]

La quarta riguarda l’esito processuale. Il provvedimento è impugnabile ai sensi dell’articolo 78 del Regolamento, dell’articolo 152 del Codice e dell’articolo 10 del decreto legislativo 150/2011, e resta salva la definizione agevolata prevista dall’articolo 166, comma 8, del Codice. Considerata la natura delle questioni — titolarità funzionale, prova dell’anonimato, prospettiva del destinatario alla luce della sentenza del 4 settembre 2025 — un eventuale giudizio di opposizione avrebbe un interesse sistematico che eccede largamente la vicenda individuale.

Riferimenti normativi

• Trattato sul funzionamento dell’Unione europea, articoli 101 e 102
• Regolamento (UE) 2016/679 (GDPR)
• Regolamento (UE) 2018/1725
• Decreto legislativo 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali)
• Legge 24 novembre 1981, n. 689
• Decreto legislativo 1° settembre 2011, n. 150
• Garante per la protezione dei dati personali, provvedimento n. 710 del 23 settembre 2026 (doc. web n. 10302112)
• Garante per la protezione dei dati personali, provvedimento 1° giugno 2023, n. 226 [Nota redazionale: verificare data e numero prima della pubblicazione.]
• Garante per la protezione dei dati personali, Regolamento n. 1/2019
• Garante per la protezione dei dati personali, Regolamento n. 2/2019
• Commission nationale de l’informatique et des libertés, provvedimento del 26 maggio 2026
• Corte di giustizia dell’Unione europea, sentenza 10 settembre 2009, causa C-97/08 P (Akzo Nobel)
• Corte di giustizia dell’Unione europea, sentenza 19 ottobre 2016, causa C-582/14 (Breyer)
• Corte di giustizia dell’Unione europea, sentenza 29 luglio 2019, causa C-40/17 (Fashion ID)
• Corte di giustizia dell’Unione europea, sentenza 7 marzo 2024, causa C-479/22 P (OC c. Commissione europea)
• Corte di giustizia dell’Unione europea, sentenza 4 settembre 2025, causa C-413/23 P
• Tribunale di Milano, sentenza 10 maggio 2024
• Gruppo di lavoro articolo 29, Parere 1/2010 sui concetti di “responsabile del trattamento” e “incaricato del trattamento” (WP 169)
• Gruppo di lavoro articolo 29, Parere 05/2014 sulle tecniche di anonimizzazione (WP 216)
• Gruppo di lavoro articolo 29, Linee guida in materia di valutazione d’impatto sulla protezione dei dati (WP 248 rev. 01)
• Comitato europeo per la protezione dei dati, Linee guida 4/2019 sull’articolo 25 – Protezione dei dati dalla progettazione e per impostazione predefinita
• Comitato europeo per la protezione dei dati, Linee guida 07/2020 sui concetti di titolare del trattamento e di responsabile del trattamento nel GDPR
• Comitato europeo per la protezione dei dati, decisione vincolante 1/2021
• Comitato europeo per la protezione dei dati, Document on response to the request from the European Commission for clarifications on the consistent application of the GDPR, focusing on health research, 2 febbraio 2021
• Comitato europeo per la protezione dei dati, Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR
• Comitato europeo per la protezione dei dati, Linee guida 01/2025 sulla pseudonimizzazione
• Comitato europeo per la protezione dei dati, Linee guida 2/2026 sull’anonimizzazione [Nota redazionale: verificare numerazione e data di adozione prima della pubblicazione.]

L'articolo Anonimizzazione dei dati sanitari e titolarità del trattamento: il provvedimento del Garante del 23 settembre 2026 nei confronti di IQVIA Solutions Italy e i limiti della k-anonymity nei database longitudinali di medicina generale proviene da 01magazine.

Con il provvedimento n. 529 del 14 luglio 2026 (doc. web n. 10292124) il Garante per la protezione dei dati personali ha dichiarato illecito il trattamento effettuato da una società di consulenza ingegneristica e ha ingiunto il pagamento di una sanzione amministrativa di 120.000 euro per violazione degli articoli 5, paragrafo 1, lettera f), e 32 del Regolamento (UE) 2016/679. L’istruttoria trae origine da una notifica di violazione ai sensi dell’articolo 33 del Regolamento, relativa a un attacco ransomware attribuito all’attore di minaccia BlackBasta, che ha determinato la cifratura dei sistemi, la compromissione degli storage di backup e la successiva pubblicazione sul dark web di dati esfiltrati, fra cui dati appartenenti alle categorie particolari. L’Autorità ha ritenuto che l’accesso iniziale tramite VPN con credenziali già circolanti in rete, in assenza di autenticazione a più fattori, di controlli efficaci contro il riuso delle credenziali, di una strategia di backup resistente al ransomware e di un processo formalizzato di gestione delle vulnerabilità, renda la violazione non imprevedibile né inevitabile. Il provvedimento offre a titolari e responsabili un parametro concreto di adeguatezza tecnica.

Premessa

In premessa va detto che il provvedimento in commento si colloca in un filone ormai consolidato di decisioni sanzionatorie dell’Autorità in materia di sicurezza del trattamento, conseguenti a notifiche di violazione dei dati personali determinate da attacchi ransomware. Trattasi, per l’appunto, di un’ordinanza ingiunzione adottata ai sensi degli articoli 58, paragrafo 2, lettera i), e 83 del Regolamento (UE) 2016/679, in combinato disposto con l’articolo 166 del decreto legislativo 30 giugno 2003, n. 196, come modificato dal decreto legislativo 10 agosto 2018, n. 101.

Il perimetro dell’analisi che segue è duplice. Sul piano sostanziale, si tratta di verificare quali misure tecniche e organizzative l’Autorità consideri, alla data dei fatti — ottobre 2024 —, ormai appartenenti allo “stato dell’arte” richiamato dall’articolo 32, paragrafo 1, del Regolamento, e quindi esigibili da un’impresa di dimensioni medie che tratta, fra l’altro, dati appartenenti alle categorie particolari di cui all’articolo 9 e dati relativi a condanne penali e reati di cui all’articolo 10. Sul piano procedurale e organizzativo, il caso presenta un profilo di non trascurabile interesse per i DPO: la società sanzionata operava contemporaneamente in veste di titolare del trattamento, rispetto ai dati dei propri dipendenti e degli organi sociali, e in veste di responsabile del trattamento, rispetto a oltre milleduecento titolari — imprese private e, in parte minore, pubbliche amministrazioni centrali e locali — per i quali erogava corsi di formazione, incarichi di responsabile del servizio di prevenzione e protezione e servizi di ingegneria del software.

Si tratta dunque di un incidente che, per struttura, interessa una catena di fornitura ampia e frammentata, e che consente di riflettere sull’articolazione degli obblighi di notifica e di comunicazione quando la violazione si origina presso il responsabile e si propaga, per via informativa, verso una pluralità di titolari. Va detto sin d’ora che l’Autorità ha contestato la violazione alla società nella sua qualità di titolare del trattamento, riconoscendo invece come adempiuto — e valorizzandolo in senso favorevole nella commisurazione della sanzione — l’obbligo di informazione verso i titolari committenti di cui all’articolo 33, paragrafo 2, del Regolamento.

L’analisi non si estende ai profili di responsabilità civile verso gli interessati, non essendo pervenuti, secondo quanto riportato nel provvedimento, reclami ai sensi dell’articolo 77 del Regolamento, né ai profili di diritto penale dell’informatica, estranei al procedimento amministrativo dinanzi al Garante.

La ricostruzione del fatto: dalla notifica alla pubblicazione sul dark web

La dinamica dell’incidente, come ricostruita nel provvedimento sulla base delle dichiarazioni della società e della relazione tecnica del dipartimento tecnologie digitali e sicurezza informatica dell’Autorità, segue uno schema ricorrente.

Le prime anomalie sono state rilevate il 9 ottobre 2024: inaccessibilità dell’infrastruttura di virtualizzazione, modifica non autorizzata della password dell’utenza amministrativa sui nodi ESXi, spegnimento imprevisto di uno dei nodi presso la sede principale, presenza diffusa di file di testo recanti la rivendicazione dell’attacco e le istruzioni per il contatto ai fini della richiesta di riscatto. La notifica all’Autorità ai sensi dell’articolo 33 del Regolamento è intervenuta l’11 ottobre 2024, con completamento il 19 dicembre 2024.

La finestra temporale dell’azione ostile è stata circoscritta dalla società fra le 23:59 dell’8 ottobre e le 9:00 del 9 ottobre 2024. Va tuttavia osservato che tale delimitazione riguarda la fase conclusiva e rumorosa dell’attacco — quella della cifratura —, mentre il provvedimento dà conto dell’impossibilità di determinare con precisione il momento del primo accesso non autorizzato e il vettore iniziale, “a causa della impossibilità di estrarre tali informazioni da macchine completamente cifrate e dalla cancellazione di eventi e file”. Su questo punto si tornerà, poiché l’insufficienza del patrimonio di log conservato è un tema che attraversa trasversalmente la casistica dei data breach ed è destinato ad assumere rilievo crescente anche sul versante della direttiva (UE) 2022/2555.

L’ipotesi ricostruttiva principale, supportata da analisi di fonti aperte, è che l’attaccante abbia utilizzato credenziali sottratte e reperite nel dark web per accedere da remoto all’infrastruttura aziendale tramite VPN. Le analisi hanno rilevato credenziali compromesse all’interno di tre distinti archivi di informazioni sottratte, con riferimento temporale ad agosto e settembre 2024, dunque in epoca immediatamente precedente all’attacco. Una volta ottenuto l’accesso alla rete interna, l’attaccante ha creato un nuovo account amministrativo denominato “ADMINTEST” sul domain controller di una delle sedi, account confermato dal personale IT come “precedentemente inesistente”; da lì ha effettuato un movimento laterale verso il domain controller della sede principale, ha preso di mira la macchina che ospitava il sistema gestionale e, infine, ha tentato di raggiungere i sistemi di backup.

L’esito su questi ultimi è stato solo parzialmente sfavorevole: il primo dispositivo di archiviazione in rete è stato compromesso al punto da essere riportato alle impostazioni di fabbrica, con perdita totale dei dati e delle configurazioni; il secondo ha subito danni meno gravi e ha consentito il recupero di punti di ripristino, ma con dati risalenti ad agosto 2024, dunque con un disallineamento temporale di circa due mesi rispetto alla data dell’incidente.

Il 4 dicembre 2024 la società ha riscontrato sul sito dell’attore di minaccia l’annuncio della prossima pubblicazione dei dati esfiltrati; la pubblicazione è avvenuta l’11 dicembre 2024 e ha riguardato “alcuni folder aziendali” contenenti “una limitata parte dei dati aziendali oggetto di violazione”. Merita segnalazione — e qualche riflessione — la circostanza, riportata nel provvedimento, che la società abbia provveduto “ad eseguire il recupero dei dati pubblicati (sul dark web) al fine di ripristinare l’integrità dei propri archivi senza dover ulteriormente disturbare i clienti”, stante “l’impossibilità di recuperare i dati con strumenti e mezzi di decriptazione”.

Le categorie di dati coinvolte e il problema della quantificazione degli interessati

Le categorie di dati interessate dalla perdita di riservatezza comprendono dati anagrafici e identificativi, dati di contatto, credenziali di autenticazione riferite a un soggetto titolare di cariche sociali, dati di pagamento limitatamente a coordinate bancarie passive, certificati del casellario giudiziale relativi a componenti degli organi societari e a dipendenti o collaboratori coinvolti in procedure di gara pubblica, documenti di identità e passaporti, dati rivelatori dell’appartenenza sindacale riferiti a un dipendente in quanto contenuti in un cedolino paga archiviato nelle cartelle della funzione risorse umane, e infine certificati medici relativi a congedo di maternità e infortuni sul lavoro.

Si tratta, per l’appunto, di un insieme che intercetta sia le categorie particolari di cui all’articolo 9, paragrafo 1, del Regolamento — appartenenza sindacale e dati relativi alla salute —, sia i dati relativi a condanne penali e reati di cui all’articolo 10. La presenza di queste categorie ha costituito, nella commisurazione della sanzione, uno degli elementi valorizzati ai sensi dell’articolo 83, paragrafo 2, lettera g), del Regolamento.

Particolarmente istruttivo, nella prospettiva del DPO, è il profilo della quantificazione degli interessati. La società ha dichiarato che “a causa dell’attacco informatico, una parte dei dati oggetto di cripting non è tutt’ora recuperabile ed è, quindi, oltremodo complesso fornire una quantificazione precisa del numero di interessati coinvolti”. Per la perdita di riservatezza la stima è stata condotta per via indiretta, “attraverso l’analisi del nome inserito nell’intestazione dei file, contenenti l’attestazione di partecipazione ai corsi di formazione erogati”, giungendo a un numero superiore a cinquecento interessati, ricavato da trecentoquarantuno attestati singoli e centottantaquattro attestati cumulativi. Per la perdita di disponibilità la società si è dichiarata nell’impossibilità di fornire un’indicazione numerica.

Appare chiaro allo scrivente che il punto meriti attenzione ben oltre il caso di specie. L’articolo 33, paragrafo 3, lettera a), del Regolamento richiede che la notifica descriva la natura della violazione, comprese, “ove possibile”, le categorie e il numero approssimativo di interessati in questione. La formula “ove possibile” non è una clausola di esonero generalizzata: essa presuppone che il titolare abbia fatto quanto ragionevolmente esigibile per pervenire a una stima. Nel caso in esame l’impossibilità di quantificare deriva, in ultima analisi, dalla stessa cifratura dei dati e dalla perdita del primo repository di backup — ossia da una conseguenza dell’inadeguatezza delle misure. Si ritiene pertanto che l’incapacità di determinare il perimetro soggettivo di una violazione non sia un dato neutro, ma un indicatore, esso stesso, della maturità del sistema di gestione dei dati: un titolare che disponga di un registro dei trattamenti realmente allineato ai sistemi, di una mappatura degli archivi e di una classificazione dei dati è in condizione di ricostruire, sia pure per approssimazione, chi sia stato coinvolto anche quando i supporti siano indisponibili.

Il quadro normativo di riferimento

La disciplina europea sulla sicurezza del trattamento

L’ancoraggio normativo del provvedimento è duplice e, per così dire, concentrico.

Il primo riferimento è l’articolo 5, paragrafo 1, lettera f), del Regolamento (UE) 2016/679, a mente del quale i dati personali devono essere “trattati in maniera da garantire un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali (‘integrità e riservatezza’)”. Trattasi di un principio generale, la cui violazione è ricondotta dall’articolo 83, paragrafo 5, lettera a), alla soglia edittale più elevata, pari a 20 milioni di euro o, per le imprese, al 4 per cento del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.

Il secondo riferimento è l’articolo 32, paragrafo 1, del Regolamento, che impone al titolare e al responsabile, “tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche”, di mettere in atto misure tecniche e organizzative adeguate a garantire un livello di sicurezza adeguato al rischio, comprensive, fra le altre e se del caso, della “capacità di assicurare su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento”, secondo la lettera b) del medesimo paragrafo.

In sostanza, la norma costruisce un obbligo a contenuto variabile, non un catalogo chiuso di presidi. In termini più pragmatici, l’adeguatezza non si misura in astratto ma per confronto: da un lato con lo stato dell’arte, ossia con ciò che il mercato e la prassi tecnica rendono disponibile e comunemente adottato al momento del trattamento; dall’altro con il rischio, ossia con la gravità e la probabilità delle conseguenze per gli interessati. È esattamente su questo doppio confronto che si gioca la motivazione del provvedimento in commento, laddove l’Autorità qualifica l’autenticazione a più fattori sulla VPN aziendale come misura “da considerarsi ormai di uso comune”.

Va aggiunto che l’articolo 32, paragrafo 1, lettera c), richiama la capacità di ripristinare tempestivamente la disponibilità e l’accesso dei dati in caso di incidente fisico o tecnico, e che il paragrafo 2 della medesima disposizione impone di tenere conto, nella valutazione dell’adeguatezza, dei rischi derivanti in particolare dalla distruzione, dalla perdita e dalla divulgazione non autorizzata di dati trasmessi, conservati o comunque trattati. Nel dispositivo finale l’Autorità richiama, per l’appunto, l’articolo 32, paragrafi 1 e 2, del Regolamento.

Gli obblighi in caso di violazione dei dati personali

Il secondo blocco normativo rilevante è quello degli articoli 33 e 34 del Regolamento. L’articolo 33, paragrafo 1, impone al titolare la notifica all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro settantadue ore dalla conoscenza della violazione, salvo che sia improbabile che la stessa presenti un rischio per i diritti e le libertà delle persone fisiche. Il paragrafo 2 della stessa disposizione stabilisce che il responsabile del trattamento, venuto a conoscenza della violazione, informa il titolare senza ingiustificato ritardo.

L’articolo 34 disciplina la comunicazione agli interessati, dovuta quando la violazione è suscettibile di presentare un rischio elevato per i diritti e le libertà. Nel caso di specie la società ha comunicato la violazione ai propri dipendenti — circa duecento interessati — già dal 9 ottobre 2024, con successive integrazioni fino al 12 dicembre, e ha pubblicato sul proprio sito istituzionale un avviso rivolto alla generalità degli utenti, aggiornando poi gli interessati sull’avvenuta pubblicazione online dei dati esfiltrati. Tale condotta è stata valutata favorevolmente dall’Autorità ai sensi dell’articolo 83, paragrafo 2, lettera c), del Regolamento.

Merita di essere segnalato un passaggio che, a parere di chi scrive, costituisce uno degli elementi di maggiore interesse sistematico del provvedimento: l’Autorità dà atto di aver ricevuto, nelle settimane successive alla notifica del responsabile, notifiche preliminari di violazione da parte di “taluni titolari del trattamento, sebbene non da tutti quelli coinvolti e informati dal responsabile stesso”. Non si ha evidenza, dal testo pubblicato, di iniziative istruttorie autonome nei confronti dei titolari inadempienti; resta tuttavia la constatazione, priva di ambiguità, di un’asimmetria fra il flusso informativo correttamente attivato dal responsabile e la reazione dei titolari destinatari di quell’informazione.

Il raccordo con la disciplina nazionale del procedimento sanzionatorio

Sul versante procedurale, il provvedimento richiama l’articolo 157 del decreto legislativo 196/2003 quale base delle richieste di informazioni, l’articolo 166, commi 5, 6 e 7, del medesimo decreto per l’avvio del procedimento, l’esercizio del diritto di difesa e la pubblicazione dell’ordinanza, nonché l’articolo 166, comma 8, per la definizione agevolata mediante pagamento di un importo pari alla metà della sanzione irrogata entro il termine per la proposizione del ricorso.

Si applicano inoltre le disposizioni della legge 24 novembre 1981, n. 689 — in particolare l’articolo 18 sull’ordinanza ingiunzione e l’articolo 27 sull’esecuzione forzata — e l’articolo 10 del decreto legislativo 1° settembre 2011, n. 150, per il rito dell’opposizione, richiamato anche dall’articolo 152 del Codice. Rilevano infine il regolamento del Garante n. 1/2000, quanto alle osservazioni del segretario generale, e il regolamento del Garante n. 1/2019, quanto ai presupposti dell’archiviazione, alla pubblicazione e all’annotazione nel registro interno delle violazioni previsto dall’articolo 57, paragrafo 1, lettera u), del Regolamento.

Va segnalato, per completezza, il richiamo dell’Autorità all’articolo 168 del Codice, che sanziona penalmente le false dichiarazioni o attestazioni nel procedimento dinanzi al Garante. Trattasi di un monito ricorrente ma non rituale: la ricostruzione tecnica di un incidente è in larga parte affidata alle dichiarazioni della parte e alla documentazione da essa prodotta, e la veridicità di tali elementi è presidiata da una sanzione penale.

Il contesto della sicurezza informatica: NIS2 e ACN

Per quanto di stretto interesse in questa sede, occorre collocare il caso nel più ampio contesto della direttiva (UE) 2022/2555, recepita in Italia con il decreto legislativo 4 settembre 2024, n. 138. Il provvedimento del Garante non fa riferimento a tale disciplina, e correttamente: il procedimento verte esclusivamente sulla protezione dei dati personali. Tuttavia, si ritiene utile osservare che una società di consulenza che eroga servizi di ingegneria del software e presta incarichi a una platea di oltre milleduecento organizzazioni, incluse pubbliche amministrazioni, opera in un ecosistema in cui la disciplina NIS2 incide su due piani distinti.

Il primo è quello dell’eventuale diretta soggezione al decreto legislativo 138/2024, in ragione del settore e della dimensione; l’accertamento è rimesso al meccanismo di registrazione presso l’Agenzia per la cybersicurezza nazionale e non può essere condotto in astratto. Il secondo — più immediatamente rilevante per la generalità dei lettori — è quello della sicurezza della catena di approvvigionamento: l’articolo 21 della direttiva (UE) 2022/2555, trasfuso nell’articolo 24 del decreto legislativo 138/2024, impone ai soggetti essenziali e importanti di adottare misure che comprendano, fra l’altro, la sicurezza della catena di approvvigionamento e le relazioni con i fornitori diretti, nonché l’autenticazione a più fattori o le soluzioni di autenticazione continua.

In termini più concreti, un’impresa soggetta a NIS2 che si avvalga di un fornitore di servizi di formazione o di consulenza in materia di salute e sicurezza sul lavoro deve oggi porsi il problema del profilo di sicurezza di quel fornitore non soltanto sub specie di articolo 28, paragrafo 1, del Regolamento — garanzie sufficienti in termini di conoscenza specialistica, affidabilità e risorse —, ma anche come adempimento autonomo di sicurezza informatica. Appare chiaro allo scrivente che i due piani, per quanto giuridicamente distinti, convergano operativamente nelle medesime clausole contrattuali e nei medesimi questionari di valutazione del fornitore.

L’analisi dell’Autorità: tre catene di omissione

Il nucleo motivazionale del provvedimento si articola su tre passaggi, corrispondenti alle tre fasi della catena di attacco.

La compromissione del perimetro e il credential stuffing

L’Autorità osserva che l’attaccante, secondo la ricostruzione della stessa società, “non abbia sfruttato particolari vulnerabilità tecnologiche dei sistemi o delle applicazioni coinvolte ma sia riuscito ad accedere utilizzando le credenziali di un’utenza valida assegnata ad un utente legittimo”. Il provvedimento qualifica la tipologia di attacco come “credential stuffing”, definendolo come quello “nel quale si sfrutta il riutilizzo di coppie di credenziali valide già ottenute a seguito di altro attacco o diversamente venute in possesso dell’attaccante”.

Va apprezzato, nella prospettiva didattica, lo sforzo definitorio dell’Autorità, che non si limita alla qualificazione ma indica un insieme di contromisure complementari. Sul versante che l’Autorità definisce “reattivo” si colloca l’uso diffuso di sistemi di autenticazione a più fattori o, ove possibile, di soluzioni passwordless quali le cosiddette passkey. Sul versante proattivo si collocano la raccolta di informazioni di cyber threat intelligence e il ricorso a servizi che segnalano la circolazione pubblica di credenziali già compromesse, informazioni utilizzabili per abilitare meccanismi di blocklisting e controlli in fase di creazione o reimpostazione delle password, ovvero per sollecitare l’aggiornamento delle credenziali dei dipendenti individuate come potenzialmente compromesse.

Un terzo gruppo di misure attiene ai meccanismi di inibizione o blocco delle credenziali a seguito di ripetuti tentativi falliti di autenticazione. Qui l’Autorità formula un criterio di adeguatezza particolarmente netto: i meccanismi “robusti e idonei prevedono la sospensione di validità della coppia di credenziali a seguito di un determinato numero di tentativi falliti di autenticazione (o, se del caso, di un determinato numero di tentativi falliti per unità di tempo), con necessità di procedere al reset delle credenziali di autenticazioni stesse previo contatto diretto con la competente unità aziendale”.

Applicando tale criterio al caso concreto, l’Autorità rileva che la società aveva configurato un sistema di blocco dell’utenza dopo dieci tentativi falliti con riattivazione automatica dopo cinque minuti, e definisce tale politica “molto blanda”, in quanto “non prevedendo un blocco delle credenziali con necessità di reset presso un competente ufficio interno, ma soltanto una sospensione temporanea della possibilità di accesso”. Quanto all’autenticazione a più fattori, risultava attiva “esclusivamente sulle utenze Microsoft 365 appartenenti a profili considerati critici” e non era estesa “in modo sistematico a tutte le utenze aziendali né agli altri sistemi (VPN, firewall, dispositivi di rete)”.

Il provvedimento chiarisce poi perché la compromissione dell’accesso VPN costituisca “uno scenario di rischio di livello non trascurabile”: essa consente all’attaccante di ottenere accesso remoto alla rete interna “con gli stessi privilegi di un utente legittimo”, di effettuare movimenti laterali, di esfiltrare dati e “sfruttare la connessione cifrata per mascherare le proprie attività rendendole meno rilevabili dai sistemi di sicurezza perimetrale”. Il rischio, aggiunge l’Autorità, “aumenta significativamente in presenza di una segregazione di rete non robusta”.

Il passaggio conclusivo del paragrafo è quello destinato ad avere maggiore impatto nella prassi: le regole di complessità e di frequenza di aggiornamento delle password, i blandi meccanismi di ostacolo ai tentativi ripetuti e la formazione di sensibilizzazione del personale “sono ben lungi dal potersi considerare misure sufficienti a garantire un livello di sicurezza idoneo e adeguato al rischio”. Si ritiene che tale affermazione debba essere letta come una presa di posizione sullo stato dell’arte: il presidio basato sulla sola password, per quanto irrobustito da policy di complessità e da campagne di awareness, non integra più, per l’accesso a risorse critiche, il livello di adeguatezza richiesto dall’articolo 32.

L’elevazione di privilegi e la compromissione del domain controller

Il secondo passaggio riguarda l’escalation. L’Autorità ricostruisce in termini generali il meccanismo — l’attaccante, ottenuto l’accesso, “cerca di ottenere privilegi o autorizzazioni più elevati (c.d. elevazione di privilegi o privilege escalation), così da acquisire un maggiore controllo sull’infrastruttura informatica oggetto di attacco” — e osserva che nel caso di specie l’elevazione è avvenuta compromettendo l’intero domain controller, ossia il server che gestisce le richieste di autenticazione e le autorizzazioni.

La società ha dichiarato di non disporre di “elementi sufficienti per rispondere in maniera puntuale” sulle tecniche impiegate, lasciando un “campo ipotesi […] piuttosto ampio”. L’Autorità enumera le tecniche più comuni — furto di credenziali tramite phishing o malware, sfruttamento di protocolli o servizi fragili o vulnerabili, attacchi al meccanismo di autenticazione di dominio, sfruttamento di vulnerabilità non corrette sui domain controller — e qualifica le ipotesi formulate dalla società come “non suffragate da idonee evidenze e pertanto di carattere meramente speculativo”.

Il rilievo decisivo è tuttavia un altro, e ha natura organizzativa prima che tecnica: la società ha dichiarato che, al momento dell’incidente, disponeva di “un processo parziale e non formalizzato per la gestione delle vulnerabilità, basato su attività manuali e strumenti non specificamente dedicati”. Trattasi, a parere di chi scrive, del punto in cui la contestazione abbandona il terreno della singola misura tecnica mancante per attestarsi su quello, più propriamente giuridico, dell’accountability: l’assenza di un processo formalizzato di gestione delle vulnerabilità tecniche significa che l’organizzazione non era in grado di dimostrare — secondo l’onere che l’articolo 5, paragrafo 2, e l’articolo 24 del Regolamento pongono in capo al titolare — di avere sotto controllo il proprio livello di esposizione.

Rileva inoltre il profilo della segregazione di rete. La società ha dichiarato che l’infrastruttura era suddivisa in più VLAN, con isolamento corretto di quelle dedicate a sistemi di backup, firewall e switch rispetto ai dispositivi della rete locale aziendale, ma che “i server di controllo di dominio, pur essendo collocati nella VLAN LAN aziendale, disponevano di accesso esteso a tutte le VLAN, in coerenza con le loro funzioni di gestione centralizzata”. In sostanza, la segmentazione esisteva ma era aggirabile attraverso un nodo che, per sua funzione, attraversava tutti i segmenti. In termini più pragmatici, l’isolamento della sottorete di backup era efficace verso le postazioni di lavoro ma inefficace verso l’unico sistema che l’attaccante aveva interesse a compromettere per primo.

Il backup e la resilienza al ransomware

Il terzo passaggio è quello che, nella prospettiva della continuità operativa, presenta le conseguenze più rilevanti. L’Autorità rileva che “la compromissione – totale in un caso e solo parziale nel secondo – degli storage di backup è stata possibile a ragione del fatto che la segmentazione di rete attuata dalla Società non è risultata sufficiente a proteggere e isolare dai movimenti laterali dell’attaccante la sottorete di backup”.

Il provvedimento enuncia poi un criterio di adeguatezza che si ritiene destinato a essere richiamato con frequenza: una strategia di backup che includa una copia offline “rappresenta una misura fondamentale per mitigare i rischi di perdita dei dati a seguito di un attacco di tipo ransomware”, poiché “laddove un backup online può essere impattato dall’attacco risultando cifrato al pari dei sistemi compromessi a causa di una imperfetta segregazione di rete o di errate configurazioni nelle policy di instradamento tra le diverse sottoreti aziendali, la disponibilità di una copia fisicamente non collegata alla rete garantisce la possibilità di ripristino”.

L’Autorità richiama espressamente la regola consolidata del “3-2-1”, ossia almeno tre copie, su due supporti diversi, di cui una conservata fuori sede, da abbinare a snapshot immutabili o supporti di tipo WORM, a controlli di accesso severi per gli account di backup, alla segmentazione della rete dedicata ai backup e alla cifratura delle copie. Merita nota che si tratta di prescrizioni tecniche di provenienza non normativa, ricavate dalla prassi e dalla letteratura di settore, che l’Autorità assume quali indicatori dello “stato dell’arte” ai sensi dell’articolo 32, paragrafo 1.

Un ulteriore elemento, che il provvedimento non isola ma che emerge dalla ricostruzione, riguarda la frequenza dei backup. Il secondo dispositivo conteneva punti di ripristino risalenti ad agosto 2024, a fronte di un attacco di ottobre. Vale a dire che, anche nella porzione di infrastruttura sopravvissuta, l’obiettivo di punto di ripristino era di circa due mesi. Si ritiene che una tale distanza fra l’ultimo backup utilizzabile e l’evento sia difficilmente compatibile con la “capacità di ripristinare tempestivamente la disponibilità e l’accesso dei dati personali in caso di incidente fisico o tecnico” richiesta dall’articolo 32, paragrafo 1, lettera c), del Regolamento, quantomeno per archivi contenenti dati appartenenti alle categorie particolari.

L’esito: illiceità del trattamento e commisurazione della sanzione

La conclusione dell’Autorità è netta nella formulazione e misurata nelle conseguenze. Netta, perché “la catena di attacco attuata dagli attori di minaccia abbia sfruttato vulnerabilità derivanti dalla mancata adozione di misure di sicurezza adeguate e idonee cosicché la violazione di dati personali conseguente all’attacco non possa essere considerata in alcun modo imprevedibile o inevitabile”. L’Autorità aggiunge che l’implementazione di misure “ormai di uso comune” quali l’autenticazione multifattore per l’accesso alla VPN o controlli robusti contro il credential stuffing e gli attacchi di forza bruta “avrebbero verosimilmente impedito l’esecuzione della catena d’attacco”.

Trattasi, nella sostanza, di un giudizio controfattuale: non si sanziona l’essere stati attaccati, ma l’essere stati attaccati con successo attraverso un varco che misure ordinarie avrebbero chiuso. Si ritiene che questa impostazione sia la corretta declinazione del principio secondo cui l’obbligo di sicurezza è obbligo di mezzi e non di risultato: l’essere vittima di un attacco non genera di per sé responsabilità, ma la genera quando la difesa mancante apparteneva al novero delle misure comunemente adottate.

La conclusione è da intendersi, si diceva, misurata nelle conseguenze, perché l’Autorità ha ritenuto non ricorrere i presupposti per l’adozione di ulteriori misure correttive ai sensi dell’articolo 58, paragrafo 2, del Regolamento, in considerazione delle misure correttive adottate dopo l’incidente e del fatto che non risultano pervenuti reclami ai sensi dell’articolo 77.

Quanto alla quantificazione, l’importo di 120.000 euro è stato determinato valorizzando, in senso sfavorevole, la natura e la gravità della violazione ai sensi dell’articolo 83, paragrafo 2, lettera a) — con riguardo alla perdita di riservatezza e al coinvolgimento di un numero di interessati superiore a cinquecento —, il carattere colposo della condotta e il grado di responsabilità del titolare ai sensi delle lettere b) e d), qualificato come “comportamento negligente”, e le categorie di dati coinvolte ai sensi della lettera g), comprensive di dati particolari. In senso favorevole sono state considerate le misure adottate per attenuare il danno ai sensi della lettera c) — comunicazioni agli interessati dal 9 ottobre 2024 e comunicazioni ai titolari committenti ai sensi dell’articolo 33, paragrafo 2 —, l’assenza di precedenti violazioni o provvedimenti sullo stesso oggetto e il grado di cooperazione con l’Autorità ai sensi della lettera f). L’Autorità ha inoltre tenuto conto delle condizioni economiche del contravventore, determinate in base al volume d’affari risultante dal bilancio d’esercizio per l’anno 2025, e ha applicato il criterio dell’articolo 83, paragrafo 3, per il concorso di violazioni riferite allo stesso trattamento.

Va segnalato che la memoria difensiva dava conto di investimenti in sicurezza pari a circa 214.704,40 euro per soli costi esterni di acquisto di beni e servizi, e del conseguimento della certificazione ISO/IEC 27001 in data 16 dicembre 2025, con avvio delle relative attività il 27 gennaio 2025. L’Autorità ha apprezzato tale impegno, precisando tuttavia che le misure successive, “pur non incidendo sulle valutazioni circa l’inadeguatezza delle difese presenti al momento dell’attacco, costituiscono un intervento correttivo coerente con le best practice di sicurezza applicativa”. In termini più concreti: la remediation riduce la sanzione, non l’accertamento.

Profili critici e questioni interpretative aperte

Alcuni aspetti del provvedimento meritano, a parere di chi scrive, una riflessione ulteriore, formulata in termini dubitativi.

Il primo riguarda il rapporto fra il ruolo di titolare e quello di responsabile. L’Autorità contesta le violazioni alla società “quale titolare del trattamento cui è attribuita la responsabilità generale dei trattamenti posti in essere”. La formula è corretta ma il perimetro fattuale è composito: fra gli interessati coinvolti dalla perdita di riservatezza vi sono, per stessa ricostruzione del provvedimento, sia dipendenti della società — rispetto ai quali essa è titolare — sia dipendenti di clienti, i cui dati figuravano negli attestati di formazione e rispetto ai quali la società operava come responsabile. La quantificazione superiore a cinquecento interessati, valorizzata ai sensi dell’articolo 83, paragrafo 2, lettera a), è ricavata proprio dall’analisi degli attestati, dunque in larga parte da trattamenti svolti per conto altrui. Si ritiene che ciò non costituisca un vizio della motivazione, poiché l’articolo 32 grava direttamente anche sul responsabile e l’infrastruttura compromessa era unitaria; tuttavia, la distinzione fra i due ruoli nella costruzione della gravità avrebbe potuto essere esplicitata con maggiore analiticità.

Il secondo profilo attiene alla posizione dei titolari committenti. Il provvedimento dà atto che non tutti i titolari informati dal responsabile hanno a loro volta notificato all’Autorità. Non si ha evidenza di quale seguito tale constatazione abbia avuto. Si osserva soltanto che l’obbligo di notifica ai sensi dell’articolo 33, paragrafo 1, grava sul titolare e non è assolto dalla notifica del responsabile: il titolare che riceva l’informazione ai sensi del paragrafo 2 deve condurre una propria valutazione del rischio per i propri interessati e, se del caso, notificare e comunicare. In una catena che conta oltre milleduecento titolari, la circostanza che soltanto una minoranza abbia attivato il proprio adempimento segnala, a parere di chi scrive, un disallineamento diffuso fra la titolarità formale e la capacità concreta di governare gli incidenti che si originano presso i fornitori.

Il terzo profilo riguarda il recupero dei dati pubblicati sul dark web ai fini del ripristino dell’integrità degli archivi. Il provvedimento riporta la circostanza senza formulare rilievi. Si ritiene tuttavia che la scelta di reintegrare i propri archivi attingendo alla pubblicazione illecita operata dall’attaccante ponga questioni non banali quanto all’integrità e all’esattezza dei dati ai sensi dell’articolo 5, paragrafo 1, lettera d), del Regolamento — non essendo verificabile se i file pubblicati siano stati alterati — e quanto alla tracciabilità delle operazioni. La questione non è affrontata nel provvedimento e non si ha evidenza di orientamenti consolidati sul punto: se ne segnala l’esistenza come tema aperto.

Il quarto profilo concerne il patrimonio di log. La società ha riferito l’assenza di registrazione di alcuni file di log, ritenendo probabile che l’attaccante ne abbia eseguito il reset. L’Autorità ne trae la conseguenza che le ipotesi ricostruttive siano “di carattere meramente speculativo”. Si ritiene che tale passaggio meriti attenzione operativa: la centralizzazione dei log in un sistema esterno al dominio compromesso — quale un sistema di raccolta e correlazione degli eventi con conservazione in sola scrittura — non è soltanto una misura di rilevazione, ma una condizione per l’esercizio stesso del diritto di difesa nel procedimento sanzionatorio, poiché consente alla parte di dimostrare l’estensione e i limiti effettivi della violazione. In assenza di log, ogni affermazione difensiva sulla limitatezza dell’impatto resta indimostrata.

Il quinto profilo riguarda il ruolo della certificazione. L’articolo 32, paragrafo 3, del Regolamento prevede che l’adesione a un meccanismo di certificazione approvato possa essere utilizzata come elemento per dimostrare la conformità. Nel caso di specie la certificazione ISO/IEC 27001 è intervenuta oltre un anno dopo l’incidente e ha operato, correttamente, come elemento di valutazione della condotta successiva. Ne discende, per implicito, che la certificazione non è per sé prova di adeguatezza e che, per converso, l’assenza di certificazione non è di per sé prova di inadeguatezza: ciò che rileva è l’effettività delle misure al momento del trattamento.

Indicazioni operative per DPO e imprese

Sul piano applicativo, dal provvedimento si ricavano alcune direttrici di intervento che si ritiene opportuno esporre in termini discorsivi, poiché il loro valore sta nel collegamento reciproco più che nell’elencazione.

Il punto di partenza è la ricognizione degli accessi remoti: si suggerisce di censire ogni punto di ingresso alla rete interna dall’esterno — concentratori VPN, portali di accesso alle applicazioni, interfacce di amministrazione degli apparati, servizi di desktop remoto esposti — e di verificare, per ciascuno, se sia attivo un secondo fattore di autenticazione. Il provvedimento qualifica l’autenticazione a più fattori sulla VPN come misura “ormai di uso comune”, sicché la sua assenza difficilmente potrà essere difesa invocando i costi di attuazione; appare chiaro allo scrivente che, laddove l’estensione integrale non sia immediatamente praticabile, la priorità debba essere data agli accessi che consentono di raggiungere il dominio di autenticazione e i sistemi di backup.

Strettamente connessa è la politica di blocco delle utenze, che il provvedimento invita a irrobustire: non una sospensione automatica di pochi minuti, bensì un blocco che imponga la reimpostazione delle credenziali previo contatto diretto e verificato con la struttura competente, accompagnato da un alert alle funzioni di sicurezza. Si ritiene utile che tale politica sia formalizzata in un documento approvato e non lasciata alla sola configurazione dei sistemi, sia per esigenze di accountability sia per consentirne la verifica in sede di audit.

Sul versante proattivo si colloca il monitoraggio delle credenziali compromesse: l’Autorità indica espressamente il ricorso a fonti di cyber threat intelligence e a servizi di segnalazione delle credenziali già oggetto di leak, con successivo blocklisting in fase di creazione o reimpostazione delle password e sollecitazione al cambio per le utenze individuate. In termini più pragmatici, si tratta di trasformare un’informazione pubblicamente disponibile in un controllo automatico: nel caso in esame le credenziali risultavano presenti in archivi noti già nei mesi immediatamente precedenti l’attacco.

Occorre poi rivedere la segregazione della rete alla luce del rilievo dell’Autorità sui domain controller: la presenza di VLAN distinte non è sufficiente se esistono nodi che, per funzione, attraversano tutti i segmenti. Si suggerisce di adottare un modello a livelli per le utenze amministrative, di distinguere le postazioni dedicate all’amministrazione dei sistemi dalle postazioni di uso ordinario e di verificare le regole di instradamento e le liste di controllo degli accessi verso la sottorete dei backup, che dovrebbe essere raggiungibile soltanto da un numero minimo di sistemi e con credenziali dedicate non appartenenti al dominio principale.

Il disegno della strategia di backup va ripensato assumendo come scenario di riferimento non il guasto hardware ma l’attaccante che ha ottenuto privilegi di dominio. Ne discendono la regola delle tre copie su due supporti con una copia fuori sede, la presenza di almeno una copia non raggiungibile dalla rete o resa immodificabile tramite supporti a scrittura singola, la cifratura delle copie, l’adozione di account di servizio dedicati e la verifica periodica dell’effettiva ripristinabilità mediante prove di restore documentate. Si ritiene che quest’ultimo elemento — la prova di ripristino — sia spesso il più trascurato: il caso in esame mostra che disporre di un backup non equivale a disporre di un backup recente e utilizzabile.

Sul piano dei processi, il provvedimento censura l’assenza di una gestione formalizzata delle vulnerabilità. Si suggerisce di dotarsi di una procedura scritta che individui le fonti di rilevazione, la periodicità delle scansioni, i criteri di priorità in funzione della criticità e dell’esposizione, i termini massimi di correzione e le modalità di gestione delle eccezioni, con tracciamento documentale delle decisioni. La prassi di audit dei sistemi di gestione mostra che la differenza fra un processo maturo e un’attività estemporanea non sta nella tecnologia impiegata ma nell’esistenza di un ciclo documentato con responsabilità assegnate.

Ugualmente necessaria è la conservazione centralizzata e protetta dei log, in un sistema separato dal dominio di produzione, con politiche di conservazione definite e coerenti con i principi di minimizzazione e limitazione della conservazione. Si ritiene che il tempo di conservazione debba essere determinato tenendo conto del fatto che la permanenza media di un attaccante in rete prima della fase di cifratura può eccedere di molto i termini di conservazione comunemente adottati.

Per quanto attiene alla dimensione documentale, si suggerisce di rivedere il registro delle attività di trattamento di cui all’articolo 30 del Regolamento affinché consenta, in caso di indisponibilità dei sistemi, di risalire alle categorie di interessati e all’ordine di grandezza dei volumi: nel caso in esame l’impossibilità di quantificare gli interessati ha costituito un elemento di debolezza sia sul piano istruttorio sia su quello difensivo. Analogamente, si suggerisce di predisporre una procedura di gestione delle violazioni che distingua nettamente gli adempimenti dovuti in qualità di titolare da quelli dovuti in qualità di responsabile, con modelli di comunicazione predisposti, tempistiche interne inferiori alle settantadue ore e criteri di valutazione del rischio elevato per gli interessati ai fini dell’articolo 34.

Per le organizzazioni che si avvalgono di fornitori, il caso impone di riconsiderare la due diligence sui responsabili del trattamento ai sensi dell’articolo 28, paragrafo 1, del Regolamento, verificando in concreto — e non per sola autodichiarazione — l’esistenza di autenticazione a più fattori sugli accessi remoti, di backup resistenti al ransomware e di processi di gestione delle vulnerabilità, nonché la presenza nel contratto di obblighi informativi tempestivi e analitici. Speculare è l’esigenza, per chi riceva da un fornitore la comunicazione di una violazione, di attivare la propria valutazione autonoma ai fini della notifica: la ricezione dell’informazione del responsabile è il presupposto, non il sostituto, dell’adempimento del titolare.

Infine, si ritiene opportuno che il DPO promuova un allineamento fra i presidi privacy e quelli di sicurezza informatica eventualmente richiesti dal decreto legislativo 138/2024, evitando la duplicazione di valutazioni e di documenti: la valutazione dei rischi condotta ai sensi dell’articolo 32 del Regolamento e quella condotta ai fini della gestione dei rischi di cybersicurezza insistono in larga misura sui medesimi asset, e la loro separazione genera costi senza produrre maggiore protezione.

Conclusioni

Il provvedimento in commento non introduce principi nuovi, ma fissa con analiticità alcune soglie di adeguatezza tecnica, e in ciò risiede il suo valore per la prassi. L’affermazione secondo cui policy di complessità delle password, blocchi temporanei dell’utenza e campagne di sensibilizzazione “sono ben lungi dal potersi considerare misure sufficienti” per l’accesso a risorse critiche costituisce, a parere di chi scrive, il passaggio destinato a essere più frequentemente richiamato, perché sposta l’asse del giudizio dall’esistenza di una misura alla sua efficacia rispetto allo scenario di minaccia concretamente prevedibile.

Restano aperte alcune questioni. La prima riguarda la sorte dei titolari che, pur informati dal responsabile, non hanno notificato all’Autorità: il provvedimento ne prende atto senza trarne conseguenze e non si ha evidenza di sviluppi ulteriori, ma il tema della responsabilità del titolare per gli incidenti originati presso i fornitori è destinato a crescere di rilievo con l’applicazione progressiva della disciplina sulla sicurezza della catena di approvvigionamento.

La seconda riguarda il valore probatorio della ricostruzione tecnica quando il patrimonio di log sia stato distrutto: nel caso in esame l’incertezza sul vettore iniziale e sulle modalità di compromissione del domain controller ha operato a sfavore della parte, poiché l’Autorità ha qualificato le ipotesi come speculative. Si tratta di un esito che appare coerente con l’onere di dimostrare la conformità posto dall’articolo 5, paragrafo 2, del Regolamento, ma che apre l’interrogativo su quale sia il grado di ricostruzione esigibile quando l’attaccante abbia deliberatamente cancellato le tracce.

La terza attiene al trattamento dei dati recuperati dalla pubblicazione illecita per finalità di ripristino: la questione, non affrontata nel provvedimento, meriterebbe un chiarimento, trattandosi di prassi che potrebbe ripetersi in scenari analoghi.

La quarta, di ordine più generale, riguarda la funzione della remediation successiva. Il provvedimento la valorizza in sede di quantificazione ma ne esclude l’incidenza sull’accertamento, e ciò appare corretto. Resta però da osservare che l’investimento di oltre duecentomila euro in misure correttive e il conseguimento di una certificazione di sistema, entrambi successivi all’incidente, descrivono un percorso che, se anticipato, avrebbe verosimilmente evitato tanto la violazione quanto il procedimento. Non si tratta di una considerazione morale ma di un dato economico che merita di essere portato all’attenzione degli organi di governo delle imprese: il costo della prevenzione tende a essere inferiore a quello della reazione, e la sanzione ne rappresenta soltanto una componente.

Riferimenti normativi

• Regolamento (UE) 2016/679 (GDPR)
• Direttiva (UE) 2022/2555 (NIS2)
• decreto legislativo 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali)
• decreto legislativo 10 agosto 2018, n. 101
• decreto legislativo 4 settembre 2024, n. 138
• legge 24 novembre 1981, n. 689
• decreto legislativo 1° settembre 2011, n. 150
• Garante per la protezione dei dati personali, provvedimento n. 529 del 14 luglio 2026 (doc. web n. 10292124)
• Regolamento del Garante per la protezione dei dati personali n. 1/2000
• Regolamento del Garante per la protezione dei dati personali n. 1/2019
• Norma ISO/IEC 27001

L'articolo Ransomware, credenziali rubate e VPN senza secondo fattore: il Garante sanziona per 120.000 euro un fornitore di servizi di consulenza — lezioni operative dal provvedimento n. 529 del 14 luglio 2026 proviene da 01magazine.

Il Regolamento di esecuzione (UE) 2026/2083 del 18 settembre 2026 dà attuazione all’articolo 23, paragrafi 4 e 8, del Regolamento (UE) 2025/327 sullo Spazio europeo dei dati sanitari, disciplinando la piattaforma centrale di interoperabilità MyHealth@EU per lo scambio transfrontaliero dei dati sanitari elettronici personali. L’atto definisce i servizi centrali forniti dalla Commissione, il catalogo dei requisiti e le specifiche tecniche approvate dal gruppo direttivo, le procedure di autorizzazione, i controlli di conformità e i test tecnici, la notifica degli incidenti significativi entro ventiquattro ore e — profilo di maggiore interesse per il lettore professionale — l’articolazione per legge delle responsabilità dei punti di contatto nazionali quali contitolari ai sensi del Regolamento (UE) 2016/679 e degli obblighi della Commissione quale responsabile ai sensi del Regolamento (UE) 2018/1725. Si sostiene in questa sede che l’atto costituisce un modello di contitolarità “legale” multilaterale con impatti immediati sull’organizzazione del punto di contatto nazionale italiano e, per riflesso, sui titolari sanitari che alimentano il Fascicolo sanitario elettronico, ben prima delle scadenze del 2029 e del 2031.

Premessa

In premessa va detto che l’atto qui esaminato non è un provvedimento isolato, ma un tassello di attuazione di una architettura normativa già definita a monte. Il Regolamento (UE) 2025/327, comunemente designato come Regolamento sullo Spazio europeo dei dati sanitari, distingue l’uso primario dei dati sanitari elettronici personali — quello funzionale all’erogazione dell’assistenza sanitaria alla persona interessata — dall’uso secondario, orientato alla ricerca, all’innovazione, alla definizione delle politiche pubbliche e alle attività regolatorie. L’infrastruttura MyHealth@EU appartiene interamente al primo ambito: è la piattaforma centrale di interoperabilità attraverso la quale, per l’appunto, i punti di contatto nazionali per la sanità digitale si scambiano le categorie prioritarie di dati sanitari elettronici indicate dall’articolo 14 del medesimo Regolamento, secondo il formato europeo di scambio delle cartelle cliniche elettroniche di cui all’articolo 15.

Il Regolamento di esecuzione (UE) 2026/2083, adottato il 18 settembre 2026 e pubblicato nella Gazzetta ufficiale dell’Unione europea del 21 settembre 2026, trova la propria base giuridica nell’articolo 23, paragrafi 4 e 8, del Regolamento (UE) 2025/327. Si tratta dunque di un atto di esecuzione in senso proprio: non innova il quadro sostanziale, ma ne fissa le condizioni uniformi di applicazione, come chiarisce il considerando 19 laddove precisa che l’assegnazione dei ruoli di contitolari ai punti di contatto nazionali e di responsabile alla Commissione discende già dall’articolo 23 del Regolamento di base, mentre l’atto di esecuzione si limita a dettagliarne responsabilità e obblighi.

Il perimetro dell’analisi che segue è circoscritto a tre profili. Il primo è strutturale e riguarda l’assetto di governance della piattaforma: chi fa cosa, con quali procedure di approvazione e con quali conseguenze in caso di non conformità. Il secondo è propriamente di protezione dei dati e concerne la configurazione della contitolarità determinata per legge ai sensi dell’articolo 26, paragrafo 1, del Regolamento (UE) 2016/679 e la traduzione degli obblighi del responsabile del trattamento in un atto giuridico vincolante ai sensi dell’articolo 28, paragrafo 3, del medesimo Regolamento e dell’articolo 29 del Regolamento (UE) 2018/1725. Il terzo è di sicurezza e concerne il raccordo, per nulla scontato, fra la nozione di incidente significativo mutuata dalla Direttiva (UE) 2022/2555 e gli obblighi di notifica della violazione dei dati personali di cui agli articoli 33 e 34 del Regolamento (UE) 2016/679.

Restano fuori dal perimetro, se non per cenni funzionali, i profili relativi all’uso secondario dei dati sanitari, alla certificazione dei sistemi di cartella clinica elettronica e al rapporto fra Spazio europeo dei dati sanitari e Regolamento (UE) 2024/1689 sull’intelligenza artificiale: materie contigue, che meritano trattazione autonoma.

Il quadro normativo di riferimento

La disciplina europea di base

L’articolo 23 del Regolamento (UE) 2025/327 incarica la Commissione di istituire MyHealth@EU quale piattaforma centrale di interoperabilità per lo scambio transfrontaliero delle categorie prioritarie di dati e di eventuali categorie aggiuntive. La medesima disposizione designa i punti di contatto nazionali per la sanità digitale come contitolari del trattamento e la Commissione come responsabile. Trattasi di una scelta normativa significativa, perché sottrae la qualificazione dei ruoli alla valutazione caso per caso — quella che l’EDPB, nelle proprie linee guida sui concetti di titolare e responsabile, ancora al criterio fattuale della determinazione di finalità e mezzi — e la fissa direttamente in una fonte di rango regolamentare.

Il considerando 20 del Regolamento di esecuzione esplicita la logica sottostante: poiché gli obblighi del responsabile devono essere stabiliti in un contratto o altro atto giuridico vincolante, e poiché le responsabilità rispettive dei contitolari possono essere determinate dal diritto dell’Unione, l’atto di esecuzione assolve entrambe le funzioni. In sostanza, il Regolamento sostituisce due strumenti negoziali — il data processing agreement e il joint controllership arrangement — con una disciplina di fonte legale, uniforme e non derogabile dalle parti. In termini più pragmatici, i punti di contatto nazionali non negoziano fra loro il riparto di responsabilità né negoziano con la Commissione le clausole di nomina a responsabile: entrambi gli assetti sono già scritti negli articoli 15 e 16 dell’atto in commento.

Il considerando 21 conferma che il trattamento resta soggetto, secondo i rispettivi ambiti di applicazione, al Regolamento (UE) 2016/679 e al Regolamento (UE) 2018/1725. La distinzione non è meramente formale: i punti di contatto nazionali, in quanto organismi degli Stati membri, operano sotto il GDPR e sotto la vigilanza delle autorità nazionali di controllo; la Commissione, in quanto istituzione dell’Unione, opera sotto il Regolamento (UE) 2018/1725 e sotto la vigilanza del Garante europeo della protezione dei dati. Il medesimo considerando qualifica inoltre il trattamento svolto dai punti di contatto nazionali come compito di interesse pubblico loro assegnato dal Regolamento (UE) 2025/327, il che, per quanto di stretto interesse in questa sede, orienta verso la base giuridica dell’articolo 6, paragrafo 1, lettera e), del GDPR, combinata con le deroghe al divieto di trattamento delle categorie particolari di dati previste dall’articolo 9, paragrafo 2, in particolare alle lettere h) e i).

Il Garante europeo della protezione dei dati è stato consultato ai sensi dell’articolo 42, paragrafo 1, del Regolamento (UE) 2018/1725 e ha reso le proprie osservazioni formali il 18 maggio 2026, come dà atto il considerando 25 e al quale si rinvia per la consultazione puntuale.

La continuità con l’infrastruttura preesistente

Il considerando 2 chiarisce che MyHealth@EU non nasce su terreno vergine. L’infrastruttura si innesta sull’architettura e sui processi sviluppati per la eHealth Digital Service Infrastructure istituita dalla Decisione di esecuzione (UE) 2019/1765, che consentiva agli Stati membri lo scambio su base volontaria di profili sanitari sintetici, prescrizioni elettroniche e dispensazioni elettroniche. La differenza sostanziale è il passaggio dalla volontarietà all’obbligatorietà: ciò che era cooperazione facoltativa diventa adempimento regolamentare, con tempistiche scadenzate e meccanismi sanzionatori di tipo tecnico — la sospensione dello scambio — anziché di tipo pecuniario.

Di tale continuità l’articolo 18 trae una conseguenza operativa rilevante. I punti di contatto nazionali per la sanità elettronica che abbiano scambiato dati attraverso l’infrastruttura preesistente prima del 26 marzo 2029 e che siano stati designati punti di contatto nazionali per la sanità digitale ai sensi dell’articolo 23, paragrafo 2, del Regolamento (UE) 2025/327 possono proseguire lo scambio nel quadro di MyHealth@EU e sono considerati conformi ai requisiti di autorizzazione iniziale. Si tratta, in sostanza, di un riconoscimento del pregresso: l’ente che ha già dimostrato la capacità di connettersi alla piattaforma centrale non ripete il controllo di conformità iniziale per i servizi già in produzione. Va detto che la deroga è circoscritta ai servizi effettivamente in esercizio e non esonera dai controlli periodici quinquennali né dalle autorizzazioni successive agli aggiornamenti maggiori.

Il raccordo con la disciplina sulla cibersicurezza

L’articolo 2, punti 4 e 5, dell’atto in commento opera un rinvio definitorio di notevole interesse sistematico. La nozione di “incidente” è quella dell’articolo 6, punto 6, della Direttiva (UE) 2022/2555, mentre l'”incidente significativo” è quello di cui all’articolo 23, paragrafo 3, della medesima Direttiva. Si tratta di un rinvio a definizioni, non di una estensione dell’ambito di applicazione soggettivo della NIS2: il punto di contatto nazionale non diventa soggetto essenziale o importante per effetto di questo rinvio, ma adotta i medesimi criteri qualificatori per individuare gli eventi che attivano l’obbligo di notifica interna alla rete MyHealth@EU.

La scelta appare, allo scrivente, coerente con l’esigenza di evitare la proliferazione di tassonomie parallele. Il settore sanitario è peraltro già ricompreso fra i settori ad alta criticità dell’allegato I della Direttiva (UE) 2022/2555 e, nell’ordinamento italiano, del decreto legislativo 138/2024, sicché molti soggetti della filiera sanitaria applicano già quei criteri. In termini più concreti, l’ente che gestisce il punto di contatto nazionale dovrà mappare una sola volta la nozione di incidente significativo e utilizzarla per due catene di notifica distinte: quella verso l’Agenzia per la cybersicurezza nazionale, ove ricorrano i presupposti soggettivi della disciplina NIS, e quella verso il presidente del gruppo direttivo, la Commissione e i punti di contatto nazionali interessati, prevista dall’articolo 13 dell’atto in commento.

Alla sicurezza dei sistemi della Commissione si applica, per espressa previsione dell’articolo 17 e del considerando 22, la Decisione (UE, Euratom) 2017/46 sulla sicurezza dei sistemi di comunicazione e informazione nella Commissione europea. Anche qui la tecnica è quella del rinvio a un corpo normativo preesistente, evitando la costruzione di un regime di sicurezza ad hoc.

Il profilo dell’interoperabilità del settore pubblico

Il considerando 26 dà atto che il Regolamento introduce requisiti vincolanti per servizi pubblici digitali transfrontalieri ai sensi del Regolamento (UE) 2024/903, il cosiddetto Interoperable Europe Act, e che è stata pertanto condotta una valutazione di interoperabilità, la cui relazione è pubblicata sul portale Interoperable Europe. Il dato merita segnalazione perché costituisce uno dei primi esempi documentati di applicazione dell’obbligo di valutazione di interoperabilità a un atto della Commissione in materia sanitaria: un precedente che, secondo il parere di chi scrive, potrà essere utilmente richiamato dagli enti pubblici italiani chiamati a svolgere analoghe valutazioni per i propri servizi transfrontalieri.

L’architettura della piattaforma e i servizi centrali

L’articolo 3 elenca i quattro servizi che la Commissione mette a disposizione: una implementazione di riferimento del software per i punti di contatto nazionali, un servizio terminologico centrale, una rete di comunicazione sicura e un servizio di configurazione centrale. La costruzione merita attenzione perché il regime giuridico dei quattro servizi non è omogeneo.

L’implementazione di riferimento e il servizio terminologico centrale sono facoltativi: il punto di contatto nazionale “può” utilizzarli. Ove scelga soluzioni alternative, queste devono essere conformi al catalogo dei requisiti e alle specifiche tecniche. Trattasi di una libertà di mezzi vincolata nel risultato, che riflette la diversità delle architetture nazionali esistenti. In termini più pragmatici, lo Stato membro che abbia già investito in una propria piattaforma non è costretto a dismetterla, ma si assume l’onere di dimostrarne la conformità in sede di controllo.

La rete di comunicazione sicura e il servizio di configurazione centrale sono invece obbligatori: il punto di contatto nazionale “utilizza” la rete per lo scambio dei dati e il servizio di configurazione per rendere disponibili i propri dati di configurazione alla Commissione e agli altri punti di contatto. La logica è evidente sul piano funzionale: la fiducia reciproca nella rete presuppone un canale unico e un registro di configurazione condiviso, e non tollererebbe soluzioni idiosincratiche.

L’articolo 3, paragrafo 5, attribuisce agli Stati membri la responsabilità della traduzione e della mappatura dei sistemi di codifica e dei set di valori, con obbligo di mantenerli aggiornati. Il paragrafo 6 precisa che il funzionamento delle infrastrutture e dei servizi nazionali a supporto della rete resta di responsabilità dei punti di contatto nazionali. Emerge così una linea di demarcazione netta fra quanto è centrale e quanto è nazionale, che ha riflessi diretti sull’imputazione della responsabilità in caso di malfunzionamento o di violazione dei dati: l’errore di mappatura semantica — poniamo, la traduzione impropria di un codice di allergia o di un principio attivo — è, sul piano della titolarità, riconducibile allo Stato membro e non alla Commissione.

Catalogo dei requisiti, specifiche tecniche e gestione del cambiamento

L’articolo 4 costruisce il catalogo dei requisiti come atto di soft law tecnico a efficacia vincolante mediata. La Commissione lo redige e lo mantiene in cooperazione con il gruppo direttivo istituito dall’articolo 95, paragrafo 1, del Regolamento (UE) 2025/327; il catalogo deve contenere almeno la descrizione dei casi d’uso implementati, i requisiti per l’implementazione dello scambio e i quadri e le procedure per i test, i controlli di conformità, l’operatività e il monitoraggio degli incidenti. Le specifiche tecniche sono proposte dalla Commissione sulla base del catalogo. Entrambi sono approvati dal gruppo direttivo.

Il meccanismo presenta un profilo di interesse per il giurista: il contenuto materiale degli obblighi cui i punti di contatto nazionali devono conformarsi non è fissato nel Regolamento, ma in documenti tecnici adottati da un organismo di governance composto dagli Stati membri. Si è di fronte a una delega tecnica a valle di un atto di esecuzione, temperata dalla circostanza che l’organo approvante è espressione degli Stati membri medesimi e che le specifiche devono essere coerenti con il formato europeo di scambio delle cartelle cliniche elettroniche, oggetto di distinto atto di esecuzione ai sensi dell’articolo 15, paragrafo 1, del Regolamento (UE) 2025/327.

La gestione delle modifiche, disciplinata dall’articolo 6, distingue release maggiori e minori secondo le definizioni dell’articolo 2. È maggiore la versione non retrocompatibile con la precedente o che abbia un impatto sostanziale sullo scambio dei dati; è minore ogni altra versione. Il considerando 10 chiarisce la ratio: correzioni di difetti, chiarimenti redazionali e modifiche che non introducono nuove funzionalità né incidono sulla capacità delle implementazioni esistenti di scambiare dati senza modifiche seguono la procedura semplificata.

Per le modifiche maggiori la proposta può essere presentata dalla Commissione su richiesta di cinque o più membri del gruppo direttivo oppure di propria iniziativa, e deve contenere la descrizione delle modifiche, la giustificazione, il calendario di attuazione e la release maggiore che le recepisce. Il gruppo direttivo approva modifiche, calendario e release; una volta approvati, Commissione, punti di contatto nazionali e partecipanti autorizzati sono tenuti a implementarli. La soglia dei cinque proponenti è, secondo il parere di chi scrive, un filtro ragionevole contro la frammentazione delle proposte, ma introduce un elemento di rigidità per lo Stato membro isolato che rilevi una criticità: la via residua è quella di convincere la Commissione ad agire di propria iniziativa.

Il regime autorizzatorio, i controlli di conformità e i test tecnici

Il cuore operativo dell’atto è nel combinato disposto degli articoli da 7 a 12. La Commissione gestisce, per conto del gruppo direttivo, quattro procedure autorizzatorie: l’avvio dello scambio, la prosecuzione dopo un aggiornamento all’ultima release maggiore, la prosecuzione dopo un controllo di conformità operativo e la gestione degli incidenti significativi. La decisione spetta al gruppo direttivo, con facoltà per il punto di contatto nazionale di chiedere il riesame in caso di diniego.

I controlli di conformità e i test tecnici hanno oggetto distinto. Il controllo di conformità, ai sensi dell’articolo 8, paragrafo 2, individua rilievi su sicurezza, riservatezza e protezione dello scambio di dati sanitari elettronici personali attraverso MyHealth@EU. Il test tecnico, ai sensi del paragrafo 3, valuta lo scambio transfrontaliero fra punti di contatto e la sua conformità alle specifiche tecniche. In entrambi i casi i rilievi sono classificati come “minori”, “medi” o “critici” secondo i livelli di conformità definiti nei quadri di riferimento contenuti nel catalogo.

La distinzione, in prospettiva pratica, corrisponde a quella fra un audit di sistema di gestione e un collaudo funzionale: il primo verifica la tenuta dei presidi organizzativi e di sicurezza, il secondo l’effettiva capacità di dialogo fra le componenti. L’esperienza applicativa dei sistemi di gestione insegna che la seconda verifica è più facilmente superabile della prima, perché il funzionamento tecnico è dimostrabile con evidenze puntuali mentre l’adeguatezza dei presidi organizzativi richiede documentazione stratificata nel tempo.

Il termine per la reazione ai rilievi è stringente: l’articolo 8, paragrafo 5, impone la trasmissione alla Commissione di un piano d’azione entro quindici giorni lavorativi dalla ricezione delle informazioni sui rilievi, indipendentemente dal loro livello. Anche il rilievo minore, dunque, genera un obbligo formale di pianificazione. Successivamente, a piano attuato, il punto di contatto nazionale lo notifica alla Commissione, che valuta le evidenze e decide sulla chiusura dei rilievi. La Commissione comunica regolarmente al gruppo direttivo i rilievi aperti: si crea in tal modo un meccanismo di pressione reputazionale fra pari, tipico delle reti di fiducia, che integra e rafforza il vincolo giuridico.

Quanto alla frequenza, l’articolo 9 prevede il controllo prima dell’avvio dello scambio, poi ogni cinque anni dall’ultimo controllo, nonché in via straordinaria quando la Commissione ritenga sussistere un rischio critico per la sicurezza, la riservatezza o la protezione dei dati. Il considerando 13 esplicita che il controllo ad hoc può essere attivato ove vi siano motivi di sospettare una violazione dei requisiti. Va detto che la cadenza quinquennale, per un’infrastruttura che tratta dati relativi alla salute su scala continentale, potrebbe apparire ampia; il correttivo risiede per l’appunto nel controllo straordinario e nell’autorizzazione richiesta a ogni aggiornamento maggiore, che produce nei fatti una verifica più frequente.

Le conseguenze del diniego sono disciplinate dagli articoli 11 e 12 in termini pressoché speculari: il gruppo direttivo adotta misure di mitigazione, che possono includere la sospensione temporanea dello scambio; il punto di contatto nazionale deve chiudere i rilievi che hanno causato la sospensione, ottenere l’autorizzazione e ripristinare lo scambio, previo — nel caso dell’aggiornamento — allineamento all’ultima release maggiore. I termini sono precisi: l’autorizzazione per l’aggiornamento va ottenuta non oltre un mese prima della scadenza del calendario di attuazione; quella successiva al controllo di conformità operativo non oltre due mesi dalla ricezione dell’esito.

Appare chiaro allo scrivente che la sospensione dello scambio costituisce la vera sanzione del sistema. Non è pecuniaria, ma incide direttamente sulla continuità assistenziale transfrontaliera dei cittadini dello Stato membro interessato: il paziente che si trovi all’estero non vedrà reso disponibile il proprio profilo sanitario sintetico, e la sua prescrizione elettronica non sarà dispensabile. Il costo politico e reputazionale di tale misura è, presumibilmente, superiore a quello di molte sanzioni amministrative.

La disciplina degli incidenti significativi

L’articolo 13 costruisce una catena di notifica a tempi molto compressi. Il punto di contatto nazionale, o la Commissione ove rilevi, notifica al presidente del gruppo direttivo, alla Commissione e a ogni punto di contatto nazionale interessato non appena possibile e comunque entro ventiquattro ore dalla conoscenza dell’incidente significativo. La Commissione, d’intesa con il presidente del gruppo direttivo, gestisce l’incidente. Il punto di contatto colpito, e ove necessario il gruppo direttivo, adottano le misure di mitigazione, che possono includere la sospensione temporanea dello scambio. Il ripristino avviene previa approvazione del gruppo direttivo, non appena possibile dopo la risoluzione. Entro un mese dalla notifica iniziale è dovuta una relazione al gruppo direttivo contenente almeno la descrizione dettagliata dell’incidente con gravità e impatto, il tipo di minaccia o la causa radice probabile e le misure di mitigazione già adottate e in corso.

Il termine di ventiquattro ore richiede una lettura attenta in rapporto agli altri obblighi gravanti sul medesimo soggetto. Nell’impianto della Direttiva (UE) 2022/2555, recepita in Italia con il decreto legislativo 138/2024, il soggetto essenziale o importante trasmette un preallarme entro ventiquattro ore e una notifica entro settantadue ore dalla conoscenza dell’incidente significativo. Nell’impianto del Regolamento (UE) 2016/679, il titolare notifica la violazione dei dati personali all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro settantadue ore. Le tre catene hanno destinatari, presupposti e contenuti diversi ma possono attivarsi contestualmente a fronte del medesimo evento.

In termini più pragmatici: un accesso non autorizzato al nodo nazionale che comporti esfiltrazione di profili sanitari sintetici potrebbe integrare, in un colpo solo, un incidente significativo ai fini dell’articolo 13 dell’atto in commento, un incidente significativo ai fini della disciplina NIS e una violazione di dati personali ai fini degli articoli 33 e 34 del GDPR, con obbligo di comunicazione agli interessati ove il rischio per i diritti e le libertà sia elevato. La procedura interna di gestione degli incidenti deve pertanto essere costruita in modo da alimentare tre flussi distinti da un’unica istruttoria, evitando sia il ritardo dovuto alla ricerca del destinatario competente sia l’incoerenza fra versioni diverse dei medesimi fatti — incoerenza che, nell’esperienza dei procedimenti ispettivi, costituisce essa stessa un elemento di criticità.

Va segnalato che l’articolo 13 non menziona le autorità di controllo della protezione dei dati fra i destinatari della notifica: la notifica alle autorità resta disciplinata dall’articolo 15, paragrafo 1, lettera h), che rinvia agli articoli 33 e 34 del GDPR. Le due catene sono dunque parallele e non alternative, e l’adempimento dell’una non esaurisce l’altra.

La contitolarità dei punti di contatto nazionali

L’articolo 15 enumera le responsabilità dei punti di contatto nazionali in qualità di contitolari. La prima è l’istituzione di un punto di contatto dotato di casella di posta funzionale per le comunicazioni fra contitolari e fra contitolari e responsabile. Segue l’obbligo di coordinamento reciproco in seno al gruppo direttivo per fornire istruzioni coordinate alla Commissione quale responsabile, e di trasmissione delle istruzioni attraverso il gruppo direttivo, come concordato con gli altri contitolari.

Questa è, secondo il parere di chi scrive, la soluzione tecnicamente più delicata dell’intero atto. L’articolo 28, paragrafo 3, lettera a), del GDPR presuppone che il responsabile tratti i dati soltanto su istruzione documentata del titolare. Con una pluralità di contitolari pari al numero degli Stati membri, l’istruzione individuale sarebbe ingestibile e potenzialmente contraddittoria. La canalizzazione attraverso il gruppo direttivo risolve il problema pratico, ma introduce un tema teorico non banale: il singolo contitolare che dissenta dall’istruzione collettiva resta comunque responsabile, verso i propri interessati e verso la propria autorità di controllo, di un trattamento eseguito secondo un’istruzione che non condivide. Non si ha evidenza, nel testo dell’atto, di un meccanismo formale di opting out o di riserva; la via residua sembra quella della richiesta di riesame delle decisioni del gruppo direttivo, prevista però soltanto per i dinieghi di autorizzazione.

Le lettere successive dell’articolo 15, paragrafo 1, distribuiscono gli adempimenti classici. L’informativa agli interessati è responsabilità dei contitolari, ai sensi degli articoli 13 e 14 del GDPR. Il riscontro alle richieste di esercizio dei diritti è parimenti loro, con un meccanismo di inoltro: il contitolare che riceva una richiesta esulante dalle proprie responsabilità la trasmette al contitolare competente e ne informa l’interessato. Si tratta di una precisazione utile, che evita il rimpallo, ma che non deroga all’articolo 26, paragrafo 3, del GDPR, per il quale l’interessato può esercitare i propri diritti nei confronti di ciascun contitolare: il contitolare adito non può limitarsi a dichiararsi incompetente, deve inoltrare e informare.

Quanto alle misure di sicurezza, la lettera f) impone l’adozione e la documentazione di misure organizzative, fisiche e logiche appropriate, con due specificazioni espresse: gli autorizzati devono essere soggetti a un adeguato obbligo legale di riservatezza o essersi impegnati alla riservatezza; e gli scambi di dati personali attraverso MyHealth@EU devono essere registrati sistematicamente in log che tengano traccia dell’identità degli attori coinvolti, delle categorie di dati personali e delle finalità dello scambio. L’obbligo di logging, in termini più concreti, significa che il nodo nazionale deve conservare una tracciatura idonea non solo a fini forensi, ma anche a fini di riscontro all’interessato che eserciti il diritto di accesso o che voglia verificare chi abbia consultato i propri dati all’estero — funzione, quest’ultima, che il Regolamento (UE) 2025/327 valorizza nella parte relativa al controllo della persona fisica sui propri dati.

Le lettere g) e h) costruiscono un obbligo di mutua assistenza nella gestione degli incidenti e delle violazioni: i contitolari si notificano reciprocamente e notificano alla Commissione i rischi per la sicurezza, gli incidenti di sicurezza collegati alle operazioni di trattamento, le violazioni dei dati personali con le probabili conseguenze e la valutazione del rischio per i diritti e le libertà, nonché ogni violazione delle garanzie tecniche od organizzative. La lettera i) prevede infine la cooperazione nello svolgimento delle valutazioni d’impatto ai sensi dell’articolo 35 del GDPR, ove necessario.

Il paragrafo 2 completa il quadro con una clausola di leale collaborazione: il contitolare che necessiti di informazioni da un altro contitolare per adempiere agli obblighi degli articoli 33 e 34 del GDPR invia una richiesta specifica alla casella funzionale, e l’altro contitolare “si adopera al meglio per fornire tali informazioni”. La formula dell’obbligo di mezzi, e non di risultato, è realistica ma lascia scoperta l’ipotesi del contitolare inadempiente: il termine di settantadue ore dell’articolo 33 del GDPR corre comunque, e la mancanza di informazioni dal partner estero non costituisce di per sé giustificazione del ritardo, potendo al più fondare la notifica in fasi successive prevista dall’articolo 33, paragrafo 4.

Gli obblighi della Commissione quale responsabile

L’articolo 16 traduce in dodici lettere il contenuto tipico di un atto di nomina a responsabile, con la precisazione iniziale che la Commissione può ricorrere a terzi quali sub-responsabili. Si noti che l’atto non prevede il meccanismo dell’autorizzazione preventiva, specifica o generale, del titolare di cui all’articolo 28, paragrafo 2, del GDPR e all’articolo 29, paragrafo 2, del Regolamento (UE) 2018/1725: l’autorizzazione è, per così dire, incorporata nella fonte legale. Trattasi di una deroga rilevante rispetto alla prassi contrattuale corrente, che i contitolari nazionali dovranno rappresentare correttamente nelle proprie informative e nei propri registri dei trattamenti.

Gli obblighi sostanziali riguardano l’istituzione e il mantenimento del servizio centrale di comunicazione sicura, la sua configurazione per consentire scambi sicuri, affidabili ed efficienti, le misure di facilitazione dell’interoperabilità con i contitolari, e il trattamento su sola istruzione dei contitolari salvo obbligo di legge, con dovere di informazione preventiva salvo divieto per rilevanti motivi di interesse pubblico. È altresì previsto l’obbligo — corrispondente all’articolo 28, paragrafo 3, ultimo comma, del GDPR — di informare immediatamente i contitolari qualora la Commissione ritenga che un’istruzione violi le disposizioni applicabili in materia di protezione dei dati.

La lettera e) impone misure di sicurezza adeguate ai rischi, documentate in un piano di sicurezza mantenuto aggiornato. L’elencazione include una procedura di valutazione del rischio per identificare e stimare le minacce potenziali, l’obbligo di riservatezza degli autorizzati — con richiamo espresso all’articolo 17 dello Statuto dei funzionari di cui al Regolamento (CEE, Euratom, CECA) n. 259/68 —, misure di sensibilizzazione di personale e contraenti, misure tecniche e organizzative contro l’accesso non autorizzato, garanzie di integrità delle informazioni trasmesse, misure di blocco degli accessi non autorizzati provenienti dal dominio dei punti di contatto nazionali, cifratura dei dati trasportati all’interno del servizio centrale e misure di sicurezza fisica comprensive del controllo degli accessi ai locali, della tenuta di un registro dei visitatori e dell’accompagnamento delle persone esterne da parte di personale autorizzato.

Merita segnalazione la previsione sulla cifratura dei dati trasportati: l’atto la impone in termini di obbligo incondizionato, senza il consueto temperamento del “ove appropriato” che caratterizza l’articolo 32, paragrafo 1, lettera a), del GDPR. Del pari significativa è la previsione di misure di blocco degli accessi non autorizzati provenienti dal dominio dei punti di contatto nazionali: la Commissione, in sostanza, è tenuta a presidiare la rete anche contro condotte anomale originate dai nodi nazionali, il che riconosce implicitamente che il rischio non è soltanto esterno.

Le lettere successive prevedono una procedura di gestione del cambiamento con informazione ai contitolari sulle modifiche che possano incidere sulla comunicazione con le infrastrutture nazionali o sulla loro sicurezza, il monitoraggio in tempo reale delle prestazioni con produzione di statistiche e tenuta di registrazioni, e procedure di audit e riesame articolate nella verifica della corrispondenza fra misure attuate e piano di sicurezza, nel controllo periodico dell’integrità dei file di sistema, dei parametri di sicurezza e delle autorizzazioni concesse, nel monitoraggio per rilevare le violazioni della sicurezza, nell’attuazione delle modifiche per mitigare le debolezze esistenti, nella definizione di una procedura di gestione degli incidenti di sicurezza con schema di segnalazione ed escalation e nell’informazione ai contitolari interessati.

La lettera i) prevede la pubblicazione sul sito della Commissione delle informative ai pazienti sul trattamento dei dati personali in MyHealth@EU, dopo che il contenuto è stato concordato dai contitolari. Si tratta di una forma di informativa a rete, che presuppone il coordinamento redazionale fra ventisette soggetti: soluzione ragionevole per garantire uniformità, ma che non esonera il singolo contitolare dall’obbligo di informativa nazionale ai sensi degli articoli 13 e 14 del GDPR, previsto dall’articolo 15, paragrafo 1, lettera d).

Le ultime lettere riguardano il supporto ai contitolari mediante informazioni sul servizio centrale per l’adempimento degli obblighi di cui agli articoli da 32 a 36 del GDPR, la cancellazione di tutti i dati personali a seguito della cessazione dello scambio con certificazione al titolare salvo obbligo legale di conservazione, e la messa a disposizione delle informazioni necessarie a dimostrare la conformità, con consenso ad audit indipendenti, ispezioni e riesami sulle misure di sicurezza anche su richiesta dei titolari, fatte salve le condizioni conformi al Protocollo n. 7 sui privilegi e sulle immunità dell’Unione europea allegato al Trattato sul funzionamento dell’Unione europea.

Quest’ultimo inciso merita attenzione. Il diritto di audit del titolare sul responsabile, sancito dall’articolo 28, paragrafo 3, lettera h), del GDPR, incontra qui il limite delle immunità dell’Unione, che proteggono in particolare l’inviolabilità dei locali e degli archivi. Non si ha evidenza, nel testo, delle modalità concrete di composizione fra le due esigenze; appare plausibile che la prassi si orienti verso audit documentali e verso l’utilizzo di relazioni di revisione indipendenti, secondo un modello già diffuso nei rapporti con fornitori di servizi cloud di rilevanti dimensioni.

Profili critici e questioni interpretative aperte

Un primo profilo attiene alla effettiva sostenibilità della contitolarità multilaterale. La dottrina e la prassi delle autorità hanno più volte segnalato che la contitolarità funziona quando i contitolari sono pochi e le rispettive sfere sono chiaramente delimitate. Qui i contitolari sono potenzialmente ventisette, più i partecipanti autorizzati di cui all’articolo 24, paragrafi 2 e 3, del Regolamento (UE) 2025/327 cui l’articolo 1, paragrafo 2, estende mutatis mutandis larga parte della disciplina. Il rischio, secondo il parere di chi scrive, non è tanto quello del vuoto di responsabilità — l’articolo 15 è sufficientemente analitico — quanto quello della diluizione: la responsabilità formalmente ripartita fra tutti tende, nella pratica dell’accertamento, a concentrarsi sul soggetto più prossimo all’interessato, ossia sul punto di contatto nazionale dello Stato di residenza.

Un secondo profilo riguarda il rapporto fra il trattamento nella piattaforma e il trattamento a monte, nei sistemi sanitari nazionali. L’articolo 14 limita il trattamento in MyHealth@EU alle categorie prioritarie di dati per uso primario di cui all’articolo 14, paragrafo 1, primo comma, del Regolamento (UE) 2025/327, alle categorie aggiuntive di cui al terzo comma della medesima disposizione e ai dati personali necessari per gestire la piattaforma, compresa la gestione dell’help desk. La delimitazione è chiara sul piano oggettivo, ma non affronta il tema della qualità e della completezza dei dati a monte: il profilo sanitario sintetico che il nodo nazionale trasmette è quello che il sistema sanitario nazionale ha prodotto, e la contitolarità sulla trasmissione non assorbe la titolarità dell’ente sanitario che ha generato il dato. L’interessato che lamenti l’inesattezza di un dato trasmesso all’estero dovrà, in concreto, rivolgersi al titolare originario per la rettifica ai sensi dell’articolo 16 del GDPR, e il punto di contatto nazionale dovrà essere attrezzato per instradare correttamente la richiesta.

Un terzo profilo concerne la tempistica. Il Regolamento si applica dal 26 marzo 2027, mentre gli obblighi di scambio decorrono dal 26 marzo 2029 per profili sanitari sintetici, prescrizioni e dispensazioni elettroniche, e dal 26 marzo 2031 per studi di diagnostica per immagini e relative relazioni, risultati di esami medici, inclusi quelli di laboratorio e altri risultati diagnostici con relative relazioni, e lettere di dimissione. Il divario biennale fra applicabilità dell’atto di esecuzione e obbligatorietà dello scambio non è un periodo di franchigia: è il tempo in cui devono essere svolti i controlli di conformità iniziali, i test tecnici e le procedure autorizzatorie. Chi ritenesse di poter iniziare i lavori nel 2028 si troverebbe, verosimilmente, a comprimere in pochi mesi un percorso di verifica che l’atto disegna come articolato.

Un quarto profilo, di natura più sistematica, riguarda la mancata considerazione esplicita dei riflessi sull’uso di sistemi di intelligenza artificiale nei flussi alimentati da MyHealth@EU. Il Regolamento non se ne occupa, il che è corretto sul piano del perimetro dell’atto di esecuzione; resta tuttavia che i dati scambiati confluiscono in sistemi nazionali nei quali possono essere impiegati strumenti di supporto alla decisione clinica qualificabili come sistemi ad alto rischio. Il coordinamento fra i due corpi normativi resta affidato all’interprete e, presumibilmente, a futuri strumenti di indirizzo.

Adempimenti per DPO e organizzazioni

Sul piano operativo, il primo passaggio che si suggerisce è la ricognizione del perimetro soggettivo: occorre stabilire, per ciascuna organizzazione, se essa sia il punto di contatto nazionale per la sanità digitale, un partecipante autorizzato ai sensi dell’articolo 24, paragrafi 2 e 3, del Regolamento (UE) 2025/327, oppure un titolare sanitario a monte che alimenta i flussi senza essere parte della rete. Le tre posizioni generano obblighi profondamente diversi e la confusione fra esse è, nell’esperienza applicativa, la principale fonte di adempimenti mal calibrati. Al titolare sanitario a monte non si applicano gli articoli 15 e 16 dell’atto in commento, ma si applica il dovere di garantire che i dati conferiti al fascicolo siano esatti, aggiornati e correttamente codificati, perché è su quel patrimonio informativo che opera lo scambio transfrontaliero.

Da questa ricognizione discende la revisione del registro dei trattamenti ai sensi dell’articolo 30 del GDPR. Per il punto di contatto nazionale occorrerà iscrivere un trattamento autonomo relativo allo scambio transfrontaliero, indicando la contitolarità determinata per legge, la Commissione quale responsabile, le categorie di dati corrispondenti all’articolo 14 dell’atto, i destinatari costituiti dai punti di contatto nazionali degli altri Stati membri e la base giuridica costituita dal compito di interesse pubblico combinato con le pertinenti deroghe dell’articolo 9, paragrafo 2, del GDPR. Si ritiene opportuno che il registro dia atto espressamente del fondamento legale della contitolarità, richiamando l’articolo 23 del Regolamento (UE) 2025/327 e l’articolo 15 del Regolamento di esecuzione, per evitare che in sede ispettiva venga richiesto un accordo di contitolarità che, per l’appunto, non deve essere stipulato.

Segue la valutazione d’impatto sulla protezione dei dati, che l’articolo 15, paragrafo 1, lettera i), dell’atto richiama espressamente in termini di cooperazione fra contitolari. Trattandosi di trattamento su larga scala di categorie particolari di dati, ricorre il presupposto dell’articolo 35, paragrafo 3, lettera b), del GDPR, oltre ai criteri dell’elenco delle tipologie di trattamento soggette a valutazione d’impatto adottato dal Garante per la protezione dei dati personali. La valutazione dovrà considerare, fra i rischi specifici, l’esposizione derivante dalla moltiplicazione dei punti di accesso, la dipendenza dalla qualità delle mappature semantiche e l’ipotesi di indisponibilità prolungata del servizio, che nel settore sanitario ha conseguenze non soltanto informative.

Sul piano organizzativo interno, occorre procedere all’istituzione della casella funzionale prescritta dall’articolo 15, paragrafo 1, lettera a), assegnandone il presidio a una struttura e non a una persona fisica, con procedure di presa in carico, di tracciamento e di escalation, e con copertura oraria proporzionata ai termini di ventiquattro ore previsti dall’articolo 13. La casella non è un mero recapito: è il canale attraverso il quale transitano le richieste di informazioni fra contitolari ai fini degli articoli 33 e 34 del GDPR, e la sua gestione negligente si tradurrebbe in ritardi imputabili.

Parallelamente si impone la revisione della procedura di gestione degli incidenti, che deve essere riscritta per contemplare l’attivazione simultanea di flussi distinti: la notifica interna alla rete MyHealth@EU entro ventiquattro ore, la notifica all’autorità di controllo competente ai sensi dell’articolo 33 del GDPR, l’eventuale comunicazione agli interessati ai sensi dell’articolo 34 e, ove ricorrano i presupposti soggettivi del decreto legislativo 138/2024, le comunicazioni verso l’Agenzia per la cybersicurezza nazionale. Si suggerisce l’adozione di una matrice di qualificazione unica dell’evento, che classifichi l’incidente una sola volta secondo i criteri dell’articolo 23, paragrafo 3, della Direttiva (UE) 2022/2555 e ne derivi automaticamente gli obblighi attivati, evitando valutazioni divergenti fra funzioni diverse della medesima organizzazione. Alla matrice va affiancata la relazione a un mese prevista dall’articolo 13, paragrafo 5, il cui contenuto minimo — gravità, impatto, tipo di minaccia o causa radice, misure adottate e in corso — suggerisce di predisporre fin d’ora un modello standard.

Di rilievo centrale è la predisposizione del sistema di logging conforme all’articolo 15, paragrafo 1, lettera f), punto ii), che impone la registrazione sistematica degli scambi con indicazione dell’identità degli attori coinvolti, delle categorie di dati e delle finalità. Si ritiene che la conservazione debba essere definita con un periodo di retention esplicito, motivato in relazione alle finalità di accountability e di riscontro ai diritti degli interessati, e che i log debbano essere protetti contro la modifica e l’accesso non autorizzato, trattandosi essi stessi di dati che rivelano informazioni sulla salute per via indiretta. La prassi di audit suggerisce che la tracciatura sia progettata fin dall’inizio in modo da essere interrogabile per soggetto interessato e non soltanto per sistema, altrimenti il riscontro a una richiesta di accesso diventa materialmente oneroso.

Va poi curata la revisione delle informative, sia sul piano dei contenuti sia su quello del coordinamento. L’informativa nazionale deve dare conto della trasmissione transfrontaliera, della contitolarità e delle modalità di esercizio dei diritti, raccordandosi con l’informativa pubblicata dalla Commissione ai sensi dell’articolo 16, lettera i), il cui contenuto è concordato fra i contitolari. Si suggerisce di predisporre un testo modulare, che rinvii per gli aspetti comuni al testo concordato e sviluppi in modo specifico gli aspetti nazionali, così da ridurre il rischio di disallineamento a ogni aggiornamento.

Sul versante della sicurezza è necessaria la mappatura delle misure rispetto al catalogo dei requisiti, con predisposizione anticipata delle evidenze documentali che saranno richieste nel controllo di conformità. Poiché il controllo verte su sicurezza, riservatezza e protezione dello scambio, e poiché i rilievi sono classificati in tre livelli con obbligo di piano d’azione entro quindici giorni lavorativi, si ritiene prudente costruire fin d’ora un fascicolo di conformità permanente, aggiornato in continuo, anziché ricostruire la documentazione in prossimità del controllo. La medesima documentazione servirà, prevedibilmente, per le verifiche periodiche quinquennali e per le autorizzazioni successive agli aggiornamenti maggiori.

Occorre inoltre presidiare la gestione del cambiamento tecnico, istituendo un raccordo stabile fra la funzione che partecipa al gruppo direttivo, la funzione informatica e il responsabile della protezione dei dati. Le release maggiori comportano obblighi di implementazione entro calendari approvati e la necessità di ottenere l’autorizzazione non oltre un mese prima della scadenza del calendario: si tratta di scadenze che devono entrare nella pianificazione ordinaria e non essere gestite in emergenza. Il responsabile della protezione dei dati, per parte sua, dovrà valutare se la singola release incida su elementi rilevanti della valutazione d’impatto, imponendone il riesame ai sensi dell’articolo 35, paragrafo 11, del GDPR.

Va altresì definita la procedura di instradamento delle richieste degli interessati, in attuazione dell’articolo 15, paragrafo 1, lettera e). La procedura deve prevedere la verifica della competenza, l’inoltro al contitolare pertinente attraverso la casella funzionale e l’informazione all’interessato, con tracciamento dei tempi. Si suggerisce di curare in modo particolare l’ipotesi della rettifica, che richiede il coinvolgimento del titolare sanitario a monte, e quella della limitazione del trattamento, che in un contesto di continuità assistenziale pone problemi di sicurezza clinica meritevoli di valutazione congiunta con le funzioni sanitarie.

Per le organizzazioni che intendano qualificarsi come partecipanti autorizzati ai sensi dell’articolo 24, paragrafi 2 e 3, del Regolamento (UE) 2025/327, va considerato che l’articolo 1, paragrafo 2, dell’atto estende loro, mutatis mutandis, l’articolo 7 salvo il paragrafo 1, lettera a), e gli articoli da 8 a 13, e che i controlli di conformità e i test tecnici possono coprire requisiti aggiuntivi specificamente rilevanti per essi. L’ingresso nella rete comporta dunque un onere di conformità sostanzialmente equivalente a quello dei nodi nazionali, con l’ulteriore incertezza dei requisiti aggiuntivi, la cui definizione è rimessa alla prassi.

Infine, si suggerisce la verifica della posizione ai fini della disciplina nazionale sulla cibersicurezza, accertando se l’ente rientri fra i soggetti essenziali o importanti individuati ai sensi del decreto legislativo 138/2024 e, in caso affermativo, allineando le misure di gestione del rischio già adottate in quella sede con i requisiti del catalogo. Un allineamento ben condotto consente economie significative, perché larga parte dei presidi richiesti coincide; un disallineamento, per converso, produce duplicazioni documentali che la prassi di audit tende a rilevare come indice di scarsa maturità organizzativa.

Conclusioni

Il Regolamento di esecuzione (UE) 2026/2083 chiude una fase e ne apre un’altra. Chiude quella della cooperazione volontaria nello scambio transfrontaliero dei dati sanitari, avviata con la Decisione di esecuzione (UE) 2019/1765, e apre quella dell’obbligo giuridicamente sanzionato, sia pure con sanzioni di tipo tecnico-operativo anziché pecuniario. La transizione è gestita con prudenza: l’articolo 18 riconosce il pregresso, l’applicazione differita al 26 marzo 2027 e le scadenze del 2029 e del 2031 scaglionano lo sforzo, il meccanismo delle release consente un’evoluzione tecnica ordinata.

Restano questioni aperte di rilievo non secondario. La prima riguarda l’efficacia reale del coordinamento fra contitolari attraverso il gruppo direttivo: il modello presuppone una capacità di deliberazione tempestiva che dovrà essere verificata alla prova dei fatti, specie nelle situazioni di crisi in cui l’istruzione al responsabile deve essere formata in tempi brevissimi. La seconda concerne il raccordo fra la catena di notifica interna alla rete e le catene di notifica esterne verso le autorità di controllo e le autorità di cibersicurezza: il testo non offre indicazioni di coordinamento e la composizione è rimessa alle procedure interne di ciascun nodo, con rischio di prassi divergenti fra Stati membri. La terza attiene al diritto di audit dei contitolari sulla Commissione, temperato dal Protocollo n. 7: sarà la prassi a definire quali modalità di verifica risultino compatibili con le immunità dell’Unione e sufficienti a soddisfare l’esigenza di accountability dei titolari.

Una quarta questione, di natura più generale, riguarda la posizione dell’interessato. L’articolo 26, paragrafo 3, del GDPR gli consente di rivolgersi a ciascun contitolare, ma l’esercizio effettivo dei diritti in un contesto di ventisette contitolari e di un responsabile istituzionale richiede strumenti di orientamento che l’atto in commento non fornisce e che dovranno, verosimilmente, essere sviluppati a livello nazionale. La continuità assistenziale transfrontaliera è un obiettivo di indubbio valore, ma la sua realizzazione non può risolversi in una diluizione della tutela individuale.

Per l’ordinamento italiano, il banco di prova sarà l’allineamento fra l’infrastruttura del Fascicolo sanitario elettronico, l’Ecosistema dati sanitari e il punto di contatto nazionale designato, con il connesso adeguamento delle misure di garanzia per il trattamento dei dati relativi alla salute previste dall’articolo 2-septies del decreto legislativo 196/2003. Non si ha evidenza, alla data, di atti di indirizzo nazionali specificamente dedicati all’attuazione del Regolamento di esecuzione: il monitoraggio delle iniziative del Ministero della salute, dell’Agenzia per l’Italia digitale e del Garante per la protezione dei dati personali appare pertanto raccomandabile nei prossimi mesi.

Riferimenti normativi

• Trattato sul funzionamento dell’Unione europea (TFUE), Protocollo (n. 7) sui privilegi e sulle immunità dell’Unione europea
• Regolamento (CEE, Euratom, CECA) n. 259/68 del Consiglio (Statuto dei funzionari)
• Regolamento (UE) 2016/679 (GDPR)
• Regolamento (UE) 2018/1725
• Direttiva (UE) 2022/2555 (NIS2)
• Regolamento (UE) 2024/903 (Interoperable Europe Act)
• Regolamento (UE) 2024/1689 (AI Act)
• Regolamento (UE) 2025/327 (Spazio europeo dei dati sanitari)
• Regolamento di esecuzione (UE) 2026/2083 della Commissione del 18 settembre 2026
• Decisione di esecuzione (UE) 2019/1765 della Commissione
• Decisione (UE, Euratom) 2017/46 della Commissione
• Decreto legislativo 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali)
• Decreto legislativo 4 settembre 2024, n. 138
• Osservazioni formali del Garante europeo della protezione dei dati (EDPS) del 18 maggio 2026 sul progetto di regolamento di esecuzione della Commissione relativo a MyHealth@EU

L'articolo MyHealth@EU diventa operativo: il Regolamento di esecuzione (UE) 2026/2083 fra contitolarità degli Stati membri, ruolo di responsabile della Commissione e disciplina degli incidenti significativi proviene da 01magazine.

Con il provvedimento n. 616 del 3 settembre 2026 il Garante per la protezione dei dati personali ha dichiarato illecita la condotta di un’azienda sanitaria universitaria che aveva configurato il dossier sanitario aziendale in modo da consentire la consultazione dei referti di una dipendente-paziente per finalità di organizzazione dei turni di reparto durante l’emergenza pandemica, in assenza di sistemi automatici di rilevamento delle anomalie di accesso e con un unico intervallo di blocco per inattività delle postazioni, fissato in trenta minuti, uguale per tutti gli ambiti operativi. L’Autorità ha ravvisato la violazione degli articoli 5, paragrafo 1, lettere a), b), c) e f), 9, 25 e 32 del Regolamento (UE) 2016/679, dell’articolo 75 del Codice e delle Linee guida in materia di Dossier sanitario del 2015, irrogando una sanzione di ventiquattromila euro e prescrizioni conformative a sessanta giorni. Si sostiene qui che il valore del provvedimento risieda meno nella sanzione che nella riaffermazione di due principi: la titolarità non si diluisce nel sistema informativo regionale condiviso e la sicurezza va progettata per contesto operativo, non per default uniforme.

Premessa

In premessa va detto che il dossier sanitario, nella ricostruzione costante dell’Autorità, è strumento distinto sia dalla cartella clinica sia dal Fascicolo sanitario elettronico: trattasi dell’insieme dei dati personali generati da eventi clinici occorsi presso un’unica struttura sanitaria, raccolti in un contenitore unitario consultabile dal personale che interviene nel processo di cura. Le “Linee guida in materia di Dossier sanitario” adottate dal Garante il 4 giugno 2015 e pubblicate in Gazzetta Ufficiale n. 164 del 17 luglio 2015 ne definiscono i presupposti: facoltatività per l’interessato, diritto di oscuramento, delimitazione degli accessi al personale coinvolto nel percorso di cura, profilazione delle autorizzazioni, tracciamento e controllo degli accessi mediante indicatori di anomalia. Come noto, tali linee guida continuano a produrre effetti anche dopo la piena applicazione del Regolamento (UE) 2016/679, in forza dell’articolo 22, comma 4, del decreto legislativo 101/2018, nei limiti della compatibilità con la disciplina europea.

Il perimetro dell’analisi che segue è quello del provvedimento n. 616 del 3 settembre 2026, adottato su reclamo di un’interessata nei confronti dell’Azienda sanitaria universitaria Friuli centrale. La vicenda tocca tre piani che nella prassi tendono a sovrapporsi e che invece il provvedimento tiene distinti: il piano della base giuridica — se e a quali condizioni un datore di lavoro che sia al tempo stesso struttura di cura possa attingere ai dati sanitari del proprio dipendente; il piano delle misure tecniche e organizzative — quali controlli il titolare debba predisporre per prevenire e rilevare accessi non autorizzati; il piano della ripartizione dei ruoli fra azienda sanitaria titolare, Regione e società in house responsabile del trattamento, in un contesto di applicativi comuni a tutto il servizio sanitario regionale. Per quanto di stretto interesse in questa sede, l’analisi si concentra sui profili di accountability e di sicurezza, che appaiono i più trasferibili ad altri contesti, anche extra-sanitari.

I fatti accertati e lo svolgimento dell’istruttoria

Il procedimento origina, secondo quanto riportato nel provvedimento, dal reclamo di una dipendente dell’azienda che lamentava plurime violazioni connesse al dossier sanitario aziendale. Le doglianze investivano, in primo luogo, un accesso avvenuto nel 2022 finalizzato a verificare il suo stato di positività al Covid-19 ai fini della programmazione dei turni in reparto; in secondo luogo, accessi da parte di professionisti sanitari che non avevano in cura la reclamante; in terzo luogo, la presunta possibilità di consultare referti di altre strutture attraverso il sistema di prenotazione denominato “SDAWEB”; inoltre, la configurazione che consentiva l’accesso trasversale a tutti i referti del dipartimento chirurgico a prescindere dalla presa in carico; infine, la lamentata assenza di file di log sul sistema di prenotazione.

Va segnalato che la stessa azienda avesse formulato un esposto alla Procura della Repubblica presso il Tribunale di Udine, qualificando come “non abusivo” il primo accesso, in quanto “effettuato su mandato della direzione medica” e “per lo svolgimento della prestazione lavorativa”, e come “impropri e illegittimi” gli accessi dei professionisti che non avevano in cura l’interessata, ipotizzando per questi ultimi la fattispecie di cui all’articolo 615-ter del codice penale. L’azienda rappresentava altresì che i professionisti lavorano su “pc condivisi” collocati in ambienti ad alto afflusso di personale e che, pertanto, qualcuno avrebbe potuto approfittare di una temporanea assenza del titolare dell’utenza.

Nel riscontro istruttorio l’azienda ha argomentato che, nel contesto emergenziale, “la conoscenza dell’esito negativo del tampone rappresentava la conditio sine qua non per l’accesso al reparto e l’unico strumento nella disponibilità dell’azienda che garantiva questa rapidità di verifica era, per l’appunto, il visore referti – dossier sanitario”, aggiungendo che “non era all’epoca possibile implementare altre modalità per effettuare le predette verifiche”. Quanto al blocco delle postazioni, l’azienda ha dichiarato che “tutti i PC dell’Azienda hanno una policy per cui lo schermo si blocca se non viene toccata la tastiera per più di 30 minuti”, precisando che “la scelta della tempistica è frutto del bilanciamento tra le esigenze operative dei sanitari e le esigenze di sicurezza” e che, nei reparti di emergenza, “l’operazione di effettuare il log out molto spesso non rientra tra le priorità degli operatori nel momento in cui vengono chiamati perché sta giungendo un codice rosso”.

Sul versante dell’accesso trasversale al dipartimento chirurgico, l’azienda ha ricondotto la scelta a “esigenze organizzative, legate alla rotazione del personale all’interno del dipartimento”, sostenendo che la configurazione “non ha mai agevolato o favorito accessi impropri alla documentazione sanitaria di terzi”. Quanto al sistema di prenotazione, l’azienda ha negato che consenta l’accesso a referti sanitari e ha elencato le operazioni tracciate, fra cui login e logout e l’identificativo dell’operatore per le registrazioni e gli annullamenti di appuntamento.

Rileva sul piano sistemico l’interlocuzione con la Regione Friuli Venezia Giulia e con la società in house che gestisce il Sistema Informativo Socio-Sanitario Regionale. La Regione, secondo il provvedimento, “non ha fornito direttamente elementi di merito”, rinviando alla nota della società quale responsabile del trattamento. Quest’ultima ha confermato che il “Visore Documenti” è componente applicativa comune messa a disposizione di tutte le aziende sanitarie e degli IRCCS, ha quantificato in circa sette milioni gli accessi registrati negli ultimi sei mesi — di cui oltre l’ottantadue per cento a seguito di presa in carico amministrativa e poco meno del diciotto per cento tramite autodichiarazione — e ha dato conto di un’evoluzione applicativa volta a rendere i titolari autonomi nella configurazione delle autodichiarazioni, con messa in produzione prevista entro il primo semestre 2026 “salvo una diversa prioritarizzazione di altre progettualità in itinere”. Ha inoltre dichiarato che “ad oggi non sono ancora implementate soluzioni di deep learning per l’analisi automatica dei comportamenti di accesso”, collocando tali approcci nel perimetro della strategia regionale in materia di “intelligenza artificiale”, in coerenza con la legge 132/2025.

Nell’incontro del 4 marzo 2026 con Regione, società in house e un’altra azienda sanitaria regionale è stata ribadita la titolarità dei trattamenti in capo alle aziende sanitarie e agli IRCCS, con la conseguente necessità che siano effettivamente rispettate le prerogative dei titolari.

Il quadro normativo di riferimento

La disciplina europea

Il primo ancoraggio è l’articolo 5, paragrafo 1, del Regolamento (UE) 2016/679, nelle lettere richiamate dalla contestazione. La lettera a) impone che i dati siano trattati “in modo lecito, corretto e trasparente nei confronti dell’interessato”; la lettera b) vincola la raccolta a “finalità determinate, esplicite e legittime” e vieta ulteriori trattamenti incompatibili; la lettera c) richiede che i dati siano “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”; la lettera f) impone il trattamento “in maniera da garantire un’adeguata sicurezza dei dati personali”, inclusa la protezione da trattamenti non autorizzati o illeciti. A questi si affianca il paragrafo 2 dello stesso articolo, che codifica la responsabilizzazione: il titolare è “competente per il rispetto del paragrafo 1 e in grado di comprovarlo”.

In termini più concreti, la combinazione fra limitazione della finalità e minimizzazione produce, nel dossier sanitario, un effetto preciso: l’accesso è legittimo soltanto se e nella misura in cui serva alla cura di quello specifico paziente da parte di quello specifico operatore. Ogni impiego ulteriore — organizzativo, amministrativo, gestionale, disciplinare — costituisce un trattamento per finalità diversa, che necessita di autonoma base giuridica e che, trattandosi di dati relativi alla salute, deve superare anche il vaglio dell’articolo 9.

L’articolo 9, paragrafo 1, pone infatti il divieto generale di trattare dati relativi alla salute, salvo le eccezioni del paragrafo 2. Il provvedimento richiama, in particolare, la lettera b) — trattamento necessario per assolvere obblighi ed esercitare diritti specifici in materia di diritto del lavoro e della sicurezza sociale, “nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo” e in presenza di garanzie appropriate —, la lettera g) sul motivo di interesse pubblico rilevante, la lettera h) sulla medicina del lavoro e la lettera i) sui motivi di interesse pubblico nel settore della sanità pubblica, che a sua volta esige una base normativa recante “misure appropriate e specifiche per tutelare i diritti e le libertà dell’interessato, in particolare il segreto professionale”.

Vengono poi in rilievo l’articolo 25 e l’articolo 32. Il primo, sulla protezione dei dati fin dalla progettazione e per impostazione predefinita, impone al titolare di attuare misure tecniche e organizzative adeguate — “sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso” — volte ad attuare in modo efficace i principi di protezione dei dati e a integrare nel trattamento le garanzie necessarie. Il secondo richiede misure “adeguate per garantire un livello di sicurezza adeguato al rischio”, tenendo conto dello stato dell’arte, dei costi di attuazione, nonché “della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche”.

Va detto che l’articolo 32 non prescrive misure nominate: non esiste un tempo di blocco schermo “a norma”, né un catalogo di alert obbligatori. La norma è a struttura aperta e rinvia a una valutazione del rischio che il titolare deve compiere e documentare. Proprio per questo, come si vedrà, la contestazione non riguarda tanto l’adozione di un valore piuttosto che un altro, quanto l’assenza di una differenziazione ragionata per contesto operativo.

Completa il quadro l’articolo 88, che consente al diritto degli Stati membri o ai contratti collettivi di prevedere norme più specifiche per il trattamento nel rapporto di lavoro, con garanzie appropriate per la dignità umana e gli interessi legittimi dei lavoratori; e i considerando 51, 52 e 53, che chiariscono la logica di eccezionalità del trattamento dei dati sanitari.

La disciplina nazionale

Sul piano interno, l’articolo 75 del decreto legislativo 196/2003 — nella formulazione risultante dalle modifiche del decreto legislativo 101/2018 — costituisce la disposizione cardine: il trattamento dei dati relativi alla salute effettuato per finalità di tutela della salute e incolumità fisica dell’interessato o di terzi o della collettività deve essere effettuato ai sensi degli articoli 9, paragrafi 2, lettere h) e i), e 3 del Regolamento, dell’articolo 2-septies del Codice, nonché nel rispetto delle specifiche disposizioni di settore. Trattasi, in sostanza, della norma che àncora l’intero trattamento sanitario alla cornice di eccezione dell’articolo 9 e alle misure di garanzia dell’Autorità.

Rilevano inoltre gli articoli 2-ter e 2-sexies del Codice quanto alla base giuridica del trattamento da parte di soggetti pubblici e ai motivi di interesse pubblico rilevante, nel testo applicabile ratione temporis; l’articolo 157 quanto al potere di richiedere informazioni; gli articoli 154-bis, 166 e 168 quanto alle procedure sanzionatorie, alla pubblicazione e alla responsabilità per dichiarazioni mendaci; l’articolo 152 e l’articolo 10 del decreto legislativo 150/2011 quanto all’opposizione giudiziaria. Sul versante lavoristico va richiamato il decreto legislativo 81/2008, che individua nel medico competente l’unico soggetto legittimato a svolgere la sorveglianza sanitaria, con la conseguente separazione funzionale rispetto al datore di lavoro, il quale può conoscere l’esito di idoneità ma non i dati clinici sottostanti.

Quanto alla disciplina emergenziale, il provvedimento richiama l’articolo 17-bis del decreto-legge 18/2020, precisando che esso “non ha e non avrebbe potuto derogare la disciplina sulla protezione dei dati che, si evidenzia, si fonda su un Regolamento europeo”, avendo invece previsto semplificazioni nella comunicazione fra titolari, applicabili solo se indispensabili e comunque nel rispetto dell’articolo 5 del Regolamento. L’affermazione è metodologicamente importante: il rapporto fra fonte europea direttamente applicabile e legislazione nazionale d’urgenza non è di deroga ma di specificazione entro i margini che il Regolamento stesso concede.

Le linee guida e i precedenti dell’Autorità

Le Linee guida in materia di Dossier sanitario del 4 giugno 2015 costituiscono il parametro tecnico-applicativo. Il provvedimento ne richiama in particolare il punto 7, lettera b), secondo cui “il titolare del trattamento deve mettere in opera sistemi per il controllo degli accessi anche al database e per il rilevamento di eventuali anomalie che possano configurare trattamenti illeciti, attraverso l’utilizzo di indicatori di anomalie (c.d. alert) utili per orientare successivi interventi di audit. Il titolare deve prefigurare, quindi, l’attivazione di specifici alert che individuino comportamenti anomali o a rischio relativi alle operazioni eseguite dagli incaricati del trattamento (es. relativi al numero degli accessi eseguiti, alla tipologia o all’ambito temporale degli stessi)”.

Sono inoltre richiamate le “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico” del 14 giugno 2007, n. 23, i cui principi il Garante considera “tuttora validi”; il documento di indirizzo del 14 maggio 2021 sul ruolo del datore di lavoro e del medico competente alla luce del quadro emergenziale; le FAQ in materia di trattamento dei dati nel contesto lavorativo pubblico e privato nell’ambito dell’emergenza sanitaria; nonché una serie di precedenti sanzionatori — il provvedimento del 26 maggio 2022, quello del 10 novembre 2022, quello del 12 ottobre 2023 e quello del 9 maggio 2024 — che hanno progressivamente scolpito i confini dell’uso del dossier. Sul piano europeo, la quantificazione della sanzione richiama le Linee guida 4/2022 del Comitato europeo per la protezione dei dati sul calcolo delle sanzioni amministrative pecuniarie, adottate nella versione del 24 maggio 2023.

L’uso del dossier per finalità organizzative: la tenuta del divieto anche in emergenza

Il primo nucleo della decisione riguarda l’accesso al dossier per verificare la positività della dipendente ai fini della turnistica. L’Autorità muove da una premessa strutturale: il dossier sanitario è strumento “facoltativo e per sua natura incompleto”, perché l’interessato può non aderirvi e può oscurare singoli eventi clinici. Ne discende, in termini più pragmatici, che il dossier non è e non può essere una fonte affidabile per decisioni amministrative: se un dipendente ha oscurato un referto, l’azienda che consultasse il dossier per organizzare i turni otterrebbe un’informazione strutturalmente parziale, con il paradosso di trattamenti illeciti e al tempo stesso inidonei allo scopo.

Il secondo passaggio è la separazione dei ruoli. Il datore di lavoro può trattare dati sulla salute dei dipendenti soltanto nei casi normativamente previsti, tipicamente su segnalazione del medico competente, unico soggetto legittimato alla sorveglianza sanitaria ai sensi del decreto legislativo 81/2008. Il Regolamento conferma tale impianto distinguendo, all’articolo 9, paragrafo 2, lettera h), i trattamenti di medicina del lavoro da quelli che il datore compie, ai sensi della lettera b), per assolvere obblighi in materia di diritto del lavoro. La circostanza che il medesimo ente sia al contempo datore di lavoro e struttura di cura non consente la commistione: le due qualità corrispondono a due titolarità funzionalmente distinte e a due basi giuridiche distinte.

Il terzo passaggio riguarda l’emergenza. L’azienda ha invocato i protocolli condivisi del 14 e del 24 marzo 2020 e il contratto collettivo del comparto sanità. L’Autorità replica che “nessuna disposizione adottata nel periodo pandemico, neanche i protocolli conclusi a livello nazionale (omissis) o il contratto collettivo nazionale di lavoro relativo al personale del comparto sanità richiamati dall’Azienda in atti, hanno disposto misure di deroga ai principi sopra richiamati, alla specifica disciplina applicabile al dossier sanitario o a quella relativa al trattamento dei dati effettuato nell’ambito del rapporto di lavoro”. La lettura appare allo scrivente coerente con il dato positivo: l’articolo 9, paragrafo 2, lettera b), richiede che il trattamento sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo; i protocolli prevedevano l’informazione al datore sulla condizione di salute nei casi ivi contemplati, ma non l’autonoma acquisizione dell’informazione da una banca dati clinica.

Merita attenzione il rigetto della difesa secondo cui, nel giorno dell’accesso, risultava aperto un percorso di cura per la reclamante, avendo la stessa prenotato un episodio ambulatoriale della medesima specialità. L’Autorità osserva che la circostanza non rileva “in quanto l’accesso non è stato effettuato per finalità di cura ma, come espressamente riconosciuto dall’Azienda, per la gestione dei turni di lavoro”. Si ritiene che il punto abbia portata generale: la liceità dell’accesso non si misura sulla mera esistenza formale di un titolo astratto di legittimazione — la presa in carico — ma sulla finalità concretamente perseguita dall’operatore in quel momento. In sostanza, un profilo autorizzativo correttamente configurato non sana un accesso finalizzato ad altro; la finalità è elemento del trattamento, non attributo dell’utenza.

Va infine segnalato il richiamo ai precedenti del 10 novembre 2022 e del 12 ottobre 2023: nel primo era stata sanzionata un’azienda che aveva allargato in via emergenziale le regole di visibilità a tutto il personale sanitario; nel secondo, un’azienda che aveva usato il dossier proprio per l’organizzazione dei turni. La ripetizione della fattispecie in contesti diversi suggerisce che non si tratti di un’anomalia isolata ma di una prassi organizzativa diffusa, maturata nell’urgenza e non successivamente rivista.

Le misure di sicurezza: alert automatici, controlli a campione, blocco per inattività

Il secondo nucleo della decisione è il più interessante per il professionista, perché tocca l’interpretazione operativa dell’articolo 32 e dell’articolo 25.

Quanto al monitoraggio degli accessi, l’azienda aveva rappresentato di aver avviato dal 2024 un sistema di rilevamento delle anomalie basato sull’esame di file Excel contenenti le risultanze di query eseguite sull’audit del visore. L’Autorità ha ritenuto la misura insufficiente, rilevando che l’azienda “non ha adottato un sistema per il rilevamento automatico di eventuali anomalie”, limitandosi “ad effettuare solo controlli a posteriori” in caso di contestazione da parte degli interessati. La distinzione è fra tracciamento e controllo: il log, di per sé, è condizione necessaria ma non sufficiente; ciò che le Linee guida del 2015 richiedono è un livello ulteriore, quello dell’analisi sistematica e possibilmente automatizzata dei log, con soglie e indicatori che segnalino i comportamenti anomali — numerosità degli accessi, tipologia, collocazione temporale — e orientino l’audit successivo.

Si ritiene che questa impostazione debba essere letta in continuità con la logica del rischio. In un sistema che registra, secondo i dati forniti in istruttoria, circa sette milioni di accessi in sei mesi su scala regionale, un controllo manuale a posteriori è statisticamente inidoneo a intercettare l’accesso abusivo isolato; l’efficacia deterrente risulta ridotta, perché l’operatore sa che la verifica interverrà, se mai, solo a fronte di un reclamo. In termini più pragmatici, l’automazione costituisce qui il presupposto di effettività della misura.

L’Autorità rileva inoltre che l’azienda non aveva adottato neppure un sistema di controllo a campione, osservando che si sarebbe potuto verificare periodicamente se le misure adottate determinassero accessi da parte di personale che non aveva preso in carico il paziente, e che “tale misura avrebbe senz’altro determinato un effetto dissuasivo”. Appare chiaro allo scrivente che il campionamento è qui valorizzato come misura organizzativa a basso costo, complementare e non alternativa all’alert automatico: una sorta di soglia minima di diligenza esigibile anche in assenza di strumenti evoluti.

Il profilo più discusso è quello del blocco automatico delle postazioni. L’azienda aveva fissato in trenta minuti l’intervallo di inattività, uniforme per tutti i dispositivi, motivandolo come bilanciamento fra esigenze operative e sicurezza, e argomentando che nei reparti di emergenza il logout manuale spesso non è materialmente eseguibile. Ha inoltre sostenuto che, data la condivisione degli spazi, “si potrebbe plausibilmente ipotizzare che chi ha effettivamente visualizzato l’elenco di documenti di XX si sia ‘impossessato’ della postazione pc loggata (omissis) dopo soli 2 minuti, o 5, o 10”, sicché anche un tempo di blocco inferiore non avrebbe impedito l’accesso.

L’Autorità respinge l’argomento osservando che “l’inserimento del blocco automatico in funzione delle specifiche esigenze connesse ai differenti ambiti operativi aziendali avrebbe ridotto il rischio di un accesso abusivo, ovvero avrebbe costituito una misura tecnica idonea per garantire un livello di sicurezza adeguato al rischio come richiede il Regolamento”. La contestazione, dunque, non verte sul numero trenta in sé, ma sull’assenza di differenziazione: la valutazione by design richiesta dall’articolo 25 impone di individuare tempi diversi per ambiti operativi diversi — la postazione di un ambulatorio a bassa rotazione non presenta lo stesso profilo di rischio di un terminale condiviso in pronto soccorso — “nell’intento di ridurre al minimo il tempo di latenza senza compromettere il requisito di efficacia del percorso assistenziale”.

Il ragionamento merita una considerazione critica di metodo, formulata in termini dubitativi. L’obiezione difensiva aveva una sua consistenza logica sul piano della causalità: se l’accesso è avvenuto pochi minuti dopo l’allontanamento dell’operatore, un timeout più breve non lo avrebbe impedito. Tuttavia, la responsabilità ex articolo 32 non è costruita sulla causalità dell’evento singolo ma sull’adeguatezza ex ante della misura rispetto al rischio: il titolare risponde di non aver predisposto un presidio proporzionato, indipendentemente dalla dimostrazione che quel presidio avrebbe impedito quello specifico accesso. Si ritiene che l’impostazione dell’Autorità sia corretta sul piano dogmatico, pur dovendosi riconoscere che essa sposta l’onere difensivo su un terreno arduo: al titolare non basta dimostrare l’inefficacia causale della misura omessa, occorrendo piuttosto dimostrare che la scelta adottata era il risultato di una valutazione documentata e ragionevole.

A ciò si aggiunge il rilievo sulla “vulnerabilità sistemica” nei confronti del comportamento doloso dei dipendenti, dichiarata dalla stessa azienda. L’Autorità osserva che tale consapevolezza “avrebbe dovuto suggerire al titolare di adottare ogni misura tecnica e organizzativa volta a ridurre il rischio di accessi non autorizzati anche attraverso misure con finalità deterrenti”. In sostanza, l’ammissione di una vulnerabilità nota si converte in aggravamento dell’obbligo: il rischio conosciuto e non mitigato è, nell’economia dell’articolo 32, meno difendibile del rischio ignoto. Si tratta di un passaggio che i titolari farebbero bene a considerare quando redigono valutazioni d’impatto e registri dei rischi, poiché documentare una minaccia senza documentare il trattamento del rischio espone a una contestazione più agevole.

L’accesso trasversale e la profondità di accesso

Un profilo ulteriore, che il provvedimento tratta nella parte motiva, riguarda la configurazione che consentiva al personale di consultare tutti i referti del dipartimento chirurgico a prescindere dalla presa in carico. L’azienda l’ha giustificata con la rotazione del personale all’interno del dipartimento.

L’Autorità ribadisce che le Linee guida richiedono al titolare di effettuare un monitoraggio delle ipotesi in cui il personale possa avere necessità di consultare il dossier per finalità di cura e, sulla base di tale ricognizione, di individuare i profili di autorizzazione; indicazione, si osserva, “perfettamente aderente al principio della ‘protezione dei dati fin dalla progettazione'”. Il Garante insiste inoltre sulla nozione di “profondità di accesso”, specie per il personale amministrativo: chi si occupa di prenotazioni deve poter consultare unicamente i dati indispensabili alla prenotazione, non l’intero contenuto clinico.

La difesa secondo cui la configurazione “non ha mai agevolato o favorito accessi impropri (omissis) e, infatti, mai sono giunte segnalazioni in tal senso” appare allo scrivente non decisiva per una ragione logica prima che giuridica: l’assenza di segnalazioni, in un contesto privo di controlli automatici sugli accessi, non è indice di assenza di accessi impropri ma, più probabilmente, di assenza di capacità di rilevarli. Il provvedimento non sviluppa espressamente questo argomento, ma la struttura della motivazione — che lega l’omesso monitoraggio all’impossibilità di intercettare le anomalie — appare coerente con tale lettura.

Va segnalato, per completezza e per correttezza verso la parte, che le contestazioni relative al sistema di prenotazione non risultano confermate nel dispositivo: l’azienda ha dichiarato che attraverso tale sistema non è possibile accedere ad alcun referto e ha descritto le operazioni tracciate. Non si ha evidenza, nel testo del provvedimento, di un accertamento contrario su questi punti, che restano dunque estranei alla dichiarazione di illiceità.

Titolarità, sistemi informativi regionali e responsabilità per la configurazione

Il profilo forse più rilevante in prospettiva di sistema è quello della ripartizione dei ruoli. La società in house ha rappresentato che gli interventi evolutivi sull’applicativo sono esaminati in tavoli tecnici cui partecipano i titolari e la società stessa, coordinati dalla direzione centrale salute, “per valutarne coerenza, fattibilità tecnico-organizzativa e priorità, tenendo conto delle risorse effettivamente disponibili”, e che i titolari “operano pertanto in un contesto di armonizzazione della scelta dei mezzi del trattamento, nell’ambito della convergenza verso un sistema regionale condiviso”.

La descrizione è, in sé, ragionevole sul piano dell’efficienza amministrativa. Il problema è la sua traduzione in termini di responsabilità. L’articolo 4, punto 7, del Regolamento definisce titolare chi determina finalità e mezzi del trattamento; l’articolo 28 configura il responsabile come chi tratta per conto del titolare e sulla base di istruzioni documentate. Quando la piattaforma è unica, sviluppata e manutenuta da un soggetto terzo su indirizzo regionale, e le evoluzioni dipendono da prioritarizzazioni sovraordinate, il titolare formale può trovarsi nella condizione di non poter modificare autonomamente le regole di visibilità. È esattamente ciò che è emerso in istruttoria, dove la società ha dichiarato che la funzionalità destinata a rendere i titolari autonomi nella configurazione delle autodichiarazioni era “in fase di completamento”, con messa in produzione prevista entro il primo semestre 2026 salvo diversa prioritarizzazione.

L’Autorità non accoglie questa circostanza come esimente. Nell’incontro del 4 marzo 2026 è stata “ribadita la titolarità dei trattamenti effettuati attraverso il dossier in capo alle aziende sanitarie regionali e agli IRCCS e, di conseguenza, la necessità che siano effettivamente rispettate le prerogative proprie delle predette aziende, in qualità di titolari del trattamento”. Si ritiene che il messaggio sia duplice e vada letto in entrambe le direzioni: da un lato, il titolare non può invocare la centralizzazione tecnologica per deresponsabilizzarsi; dall’altro, il fornitore e il coordinatore regionale non possono comprimere le prerogative del titolare fino a renderle nominali, perché ciò genererebbe una dissociazione fra responsabilità giuridica e potere effettivo di determinazione dei mezzi.

Va detto che la questione ha una rilevanza che eccede il caso di specie e riguarda tutte le amministrazioni che operano su piattaforme condivise, dagli applicativi sanitari regionali ai sistemi centralizzati della pubblica amministrazione. Appare chiaro allo scrivente che, in simili architetture, occorre almeno che il titolare disponga di leve documentate: la possibilità di richiedere formalmente modifiche, la tracciabilità delle richieste e dei riscontri, la definizione contrattuale dei livelli di servizio anche in materia di sicurezza, e — laddove la modifica non sia ottenibile nei tempi necessari — l’adozione di misure compensative organizzative sotto il proprio diretto controllo. Il provvedimento, del resto, valorizza proprio misure di questo tipo: il controllo a campione e la formazione sono presidi che nessuna prioritarizzazione regionale impedisce di attivare.

Si segnala, inoltre, che l’Autorità ha dato conto di un provvedimento sanzionatorio adottato il 3 luglio 2026 nei confronti di un’altra azienda sanitaria della medesima Regione, nell’ambito del quale erano state richieste informazioni alla Regione e alla società in house sullo stato degli interventi al sistema, riservandosi “l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento”. La riserva lascia intendere che l’attenzione dell’Autorità non si esaurisca sul singolo titolare ma investa la catena di governance regionale; non si ha evidenza, allo stato, di quali misure siano state poi adottate.

Un’ultima annotazione riguarda il riferimento della società in house alle tecnologie di “intelligenza artificiale” per l’analisi dei comportamenti di accesso, collocate nel quadro della legge 132/2025. Il tema è delicato: un sistema che analizzi i pattern di accesso del personale sanitario configura un trattamento dei dati dei lavoratori con finalità potenzialmente valutative, che richiede un’attenta verifica rispetto alle garanzie in materia di controlli a distanza e, nel perimetro del Regolamento (UE) 2024/1689, una valutazione della classificazione del sistema. Si ritiene che l’adozione di soluzioni di questo tipo non possa prescindere da una valutazione d’impatto ai sensi dell’articolo 35 del Regolamento (UE) 2016/679 e dal coinvolgimento delle rappresentanze sindacali secondo le procedure previste dall’ordinamento nazionale.

La quantificazione della sanzione e le prescrizioni conformative

Sul piano sanzionatorio, l’Autorità applica l’articolo 83, paragrafo 3, trattandosi di unica condotta produttiva di plurime violazioni, con conseguente applicazione del massimo edittale previsto per la violazione più grave, riconducibile al paragrafo 5 — che, per le violazioni dei principi, delle condizioni di liceità e dei diritti degli interessati, fissa il limite in venti milioni di euro o, per le imprese, nel 4 per cento del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. La gravità complessiva è ritenuta “media”, con richiamo al punto 60 delle Linee guida 4/2022 del Comitato europeo per la protezione dei dati.

Gli elementi valorizzati nella quantificazione sono, secondo quanto riportato: la circostanza che l’uso del dossier per la turnistica sia avvenuto su mandato della direzione medica aziendale; la reiterazione degli interventi dell’Autorità sulla corretta configurazione del dossier, anche nei confronti di aziende della medesima Regione; il fatto che l’Autorità sia venuta a conoscenza del caso attraverso un reclamo. L’importo è determinato in ventiquattromila euro, con sanzione accessoria della pubblicazione dell’ordinanza-ingiunzione sul sito del Garante, motivata “in ragione dell’impatto che le impostazioni presenti sul dossier sanitario aziendale hanno potuto avere su un numero considerevole di pazienti”.

Si osserva che l’importo appare contenuto rispetto ai massimali edittali, e che la motivazione lascia intendere un bilanciamento fra la natura pubblica del titolare, il contesto emergenziale e, per converso, la circostanza aggravante della reiterazione di problematiche già oggetto di precedenti interventi nella stessa Regione. Il riferimento al “mandato della direzione medica” merita una lettura attenta: esso non attenua la responsabilità dell’ente, ma la conferma, poiché dimostra che la condotta non è stata l’iniziativa estemporanea di un singolo operatore bensì una prassi organizzativa avallata al livello direzionale — e dunque, per l’appunto, imputabile al titolare in quanto scelta di configurazione.

Quanto alle misure correttive, ai sensi dell’articolo 58, paragrafo 2, lettera d), l’Autorità ingiunge di far conoscere entro sessanta giorni le misure adottate per limitare l’accesso al dossier alle sole finalità di cura, escludendolo per il personale che agisce in qualità di datore di lavoro, e per introdurre indicatori di anomalie automatici e sistemi di blocco per inattività differenziati per ambito operativo. Ai sensi dell’articolo 58, paragrafo 1, lettera a), del Regolamento e dell’articolo 157 del Codice, è altresì prescritto di comunicare entro novanta giorni le iniziative intraprese. Resta ferma la facoltà di definizione agevolata mediante pagamento della metà dell’importo, ai sensi dell’articolo 166, comma 8, del Codice.

Adempimenti e indicazioni operative per DPO e titolari

Muovendo dal provvedimento, si suggerisce di affrontare la materia secondo una sequenza che parte dal censimento e arriva alla verifica di efficacia, tenendo presente che la maggior parte delle contestazioni qui esaminate non riguarda l’assenza assoluta di misure ma la loro indifferenziazione rispetto al contesto.

Il primo passaggio è la ricognizione delle finalità di accesso: si ritiene indispensabile che il titolare mappi, con il concorso delle direzioni sanitarie e dei responsabili di dipartimento, tutte le ipotesi concrete in cui il personale ha necessità di consultare il dossier, distinguendo gli accessi clinici da quelli amministrativi correlati alla cura, e verificando che non residuino impieghi organizzativi, gestionali o datoriali. La ricognizione non è un adempimento formale: le Linee guida del 2015 la pongono come presupposto logico della successiva profilazione, e il provvedimento la richiama espressamente come attuazione dell’articolo 25. Da essa discende la revisione dei profili autorizzativi, che deve tradurre la mappatura in regole di visibilità effettivamente differenziate, superando le configurazioni trasversali per dipartimento laddove non siano giustificate da un’effettiva rotazione assistenziale documentata; ove la rotazione esista, si suggerisce di privilegiare meccanismi di abilitazione dinamica legata al turno effettivo anziché abilitazioni statiche permanenti.

Strettamente connessa è la modulazione della profondità di accesso, che impone di distinguere non solo chi può accedere ma a che cosa: al personale amministrativo di prenotazione devono essere resi visibili i soli dati necessari alla prenotazione; al personale sanitario di una determinata specialità, i documenti pertinenti al percorso di cura in corso. In termini più pragmatici, la domanda da porsi in sede di configurazione non è “questo operatore è autorizzato al dossier?” ma “di quali informazioni ha bisogno questo operatore, in questo momento, per questo paziente?”.

Sul versante della sicurezza, il primo adempimento è la differenziazione dei tempi di blocco per inattività in funzione del contesto operativo. Si ritiene che il titolare debba condurre e documentare una valutazione che consideri, per ciascuna tipologia di postazione, il grado di condivisione, l’affluenza di personale e utenza, la collocazione fisica, la criticità delle informazioni accessibili e l’impatto operativo di un blocco frequente; da tale valutazione discenderanno valori differenziati, verosimilmente più stringenti per i terminali condivisi in aree ad alto transito. Ove tempi molto brevi risultino incompatibili con l’assistenza, si suggerisce di considerare misure compensative quali l’autenticazione tramite badge o token con sblocco rapido, la schermatura fisica dei monitor, il logout automatico su allontanamento del dispositivo di autenticazione, oppure la separazione fra sessione di sistema operativo e sessione applicativa, con timeout applicativo più aggressivo di quello di sistema.

Il nucleo dell’intervento riguarda tuttavia il sistema di rilevamento automatico delle anomalie. Occorre definire indicatori misurabili — numero di accessi per operatore in un dato intervallo, accessi a pazienti non presenti nella lista di presa in carico, accessi in fasce orarie incompatibili con il turno, accessi ripetuti allo stesso dossier, accessi a soggetti con cognome coincidente con quello dell’operatore, accessi a personalità note o a dipendenti della struttura — e associare a ciascuno una soglia di allerta, un destinatario della segnalazione e un flusso di verifica. Si ritiene che l’alert privo di un processo di gestione documentato equivalga, sul piano dell’accountability, all’alert assente: il provvedimento censura non solo la mancanza dello strumento ma la sua sostituzione con controlli a posteriori attivati solo dal reclamo. Parallelamente va istituito un programma di audit a campione, con periodicità definita, numerosità del campione motivata, criteri di selezione documentati e verbalizzazione degli esiti; l’Autorità ne valorizza espressamente la funzione dissuasiva, che opera a condizione che il personale sia informato della sua esistenza.

Su questo si innesta la formazione mirata e la dichiarazione di responsabilità: la formazione generica sul Regolamento non soddisfa il requisito posto dalle Linee guida, che richiedono una formazione specifica sulle condizioni di accesso al dossier, sulle conseguenze disciplinari e penali dell’accesso abusivo — con riferimento all’articolo 615-ter del codice penale — e sulle modalità corrette di chiusura della sessione. Si suggerisce di documentare presenze, contenuti ed esiti di verifica dell’apprendimento, e di rinnovare la formazione con cadenza almeno biennale e comunque a ogni modifica rilevante della configurazione.

Sul piano documentale, il titolare deve aggiornare la valutazione d’impatto sulla protezione dei dati relativa al dossier sanitario, che rientra pacificamente fra i trattamenti su larga scala di dati relativi alla salute per i quali l’articolo 35 del Regolamento la impone; la valutazione deve dare conto del rischio di accesso abusivo interno, delle misure adottate e del rischio residuo, e deve essere riesaminata alla luce delle evidenze provenienti dagli alert e dagli audit. Va inoltre verificata la coerenza del registro dei trattamenti, nel quale l’uso del dossier per finalità diverse dalla cura non deve comparire come trattamento ammesso, e va rivista l’informativa resa agli interessati, che deve chiarire in modo comprensibile il perimetro degli accessi, il diritto di oscuramento e la facoltà di non aderire.

Un capitolo autonomo riguarda i rapporti con il fornitore e con il coordinamento regionale. Si suggerisce di formalizzare per iscritto, nell’accordo ex articolo 28 del Regolamento, non solo le istruzioni generali ma i requisiti specifici di configurabilità: la possibilità per il titolare di definire autonomamente profili, profondità di accesso, indicatori di anomalia e tempi di conservazione dei log; i tempi di riscontro alle richieste di modifica; le modalità di escalation in caso di mancata implementazione. Ove la piattaforma non consenta al titolare l’autonomia richiesta, si ritiene opportuno che la circostanza sia formalmente rappresentata alla struttura regionale competente e documentata agli atti, accompagnata dall’individuazione delle misure compensative adottate nel frattempo: il provvedimento in esame non riconosce valore esimente alla centralizzazione, ma una condotta documentata e diligente costituisce elemento valutabile ai sensi dell’articolo 83, paragrafo 2.

Quanto alla gestione degli accessi anomali accertati, occorre predisporre una procedura che colleghi il rilevamento alla valutazione della violazione dei dati personali ai sensi degli articoli 33 e 34 del Regolamento, all’informazione dell’interessato ove ricorrano i presupposti, all’attivazione del procedimento disciplinare e, nei casi che integrino ipotesi di reato, alla segnalazione all’autorità giudiziaria. Si osserva che nel caso esaminato l’azienda aveva effettivamente presentato esposto alla Procura; tale iniziativa, pur apprezzabile, non è stata ritenuta idonea a compensare le carenze preventive, il che conferma che la reazione all’evento non surroga la sua prevenzione.

Infine, si suggerisce al responsabile della protezione dei dati di includere il dossier sanitario fra gli oggetti ricorrenti del proprio piano di monitoraggio ai sensi dell’articolo 39, paragrafo 1, lettera b), del Regolamento, verificando periodicamente non la mera esistenza delle procedure ma la loro effettiva applicazione: quanti alert sono stati generati, quanti audit eseguiti, quali esiti, quali azioni correttive. Nella prassi applicativa dei sistemi di gestione, la distanza fra procedura documentata e procedura praticata è il punto in cui più frequentemente si concentra la non conformità; e appare chiaro allo scrivente che, in materia di accessi al dossier, tale distanza è anche il punto in cui si concentra il rischio per gli interessati.

Conclusioni

Il provvedimento n. 616 del 3 settembre 2026 non introduce principi nuovi: ribadisce, con riferimenti espliciti ai propri precedenti del 2022, del 2023 e del 2024, un orientamento consolidato sull’uso del dossier sanitario. Proprio questa continuità, tuttavia, solleva la questione più interessante, che è di efficacia sistemica: se fattispecie sostanzialmente identiche si ripresentano a distanza di anni e all’interno della medesima Regione, occorre chiedersi se lo strumento sanzionatorio individuale, applicato al singolo titolare, sia sufficiente quando la causa della non conformità risiede in una configurazione applicativa condivisa da tutte le aziende del sistema. La riserva espressa dall’Autorità circa ulteriori misure correttive lascia intendere che il problema sia stato colto; non si ha evidenza, allo stato, degli sviluppi.

Resta aperta la questione della dissociazione fra titolarità formale e governo effettivo dei mezzi nei sistemi informativi centralizzati. La soluzione adottata — ribadire la titolarità aziendale e sollecitare il rispetto delle sue prerogative — è giuridicamente ineccepibile, ma lascia il titolare in una posizione scomoda quando la modifica richiesta dipende da prioritarizzazioni sovraordinate e da risorse non proprie. Si ritiene che l’evoluzione naturale di questo orientamento consista nel valorizzare, in sede di quantificazione e di valutazione della colpevolezza, la diligenza documentata del titolare nel sollecitare gli interventi e nell’adottare misure compensative; e, specularmente, nel considerare la responsabilità dei soggetti che governano l’architettura regionale, sia pure entro i confini che il Regolamento assegna al responsabile del trattamento ai sensi dell’articolo 28 e, ove ne ricorrano i presupposti fattuali, alla contitolarità ai sensi dell’articolo 26.

Una seconda prospettiva evolutiva riguarda l’automazione del controllo. L’Autorità richiede indicatori di anomalia automatici; la società in house prospetta l’impiego futuro di tecniche di apprendimento automatico per l’analisi dei comportamenti di accesso. Si apre qui un terreno di intersezione fra la disciplina della protezione dei dati, quella dei controlli sul lavoratore e quella del Regolamento (UE) 2024/1689: sistemi che profilano i comportamenti del personale sanitario, ancorché con finalità di sicurezza, incidono su interessi dei lavoratori e richiedono una progettazione che ne delimiti rigorosamente le finalità, escluda usi valutativi impropri e preveda intervento umano sulle segnalazioni. Appare chiaro allo scrivente che la soluzione tecnologica al problema degli accessi abusivi non è neutrale e reclama, a sua volta, una valutazione d’impatto e un confronto con le rappresentanze.

Un terzo profilo, meno esplorato, riguarda la coerenza fra dossier sanitario e Fascicolo sanitario elettronico nella sua configurazione attuale: la coesistenza di strumenti con regimi di consenso, oscuramento e visibilità differenti genera, per il personale operativo, una complessità che il provvedimento non affronta ma che costituisce, secondo il parere di chi scrive, una delle cause pratiche della confusione applicativa. Una razionalizzazione delle regole di accesso, anche a livello di linee guida aggiornate, agevolerebbe l’adempimento più di quanto non faccia la reiterazione di sanzioni di importo contenuto.

Infine, va segnalato che la vicenda conferma la centralità del reclamo dell’interessato come innesco dell’accertamento. L’Autorità lo annovera fra gli elementi considerati nella quantificazione. L’assenza di controlli interni automatici rimette all’iniziativa dell’interessato l’emersione delle non conformità; ciò, per un titolare pubblico che tratta dati sulla salute di milioni di persone, costituisce un profilo di criticità rilevante fra quelli emersi dall’istruttoria.

Riferimenti normativi

• Regolamento (UE) 2016/679 (GDPR)
• Regolamento (UE) 2024/1689 (AI Act)
• Decreto legislativo 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali)
• Decreto legislativo 9 aprile 2008, n. 81
• Decreto legislativo 1° settembre 2011, n. 150
• Decreto legislativo 10 agosto 2018, n. 101
• Legge 24 novembre 1981, n. 689
• Legge 23 settembre 2025, n. 132
• Decreto-legge 17 marzo 2020, n. 18
• Decreto-legge 8 ottobre 2021, n. 139
• Codice penale, articolo 615-ter
• Garante per la protezione dei dati personali, provvedimento 3 settembre 2026, n. 616
• Garante per la protezione dei dati personali, Linee guida in materia di Dossier sanitario, 4 giugno 2015
• Garante per la protezione dei dati personali, Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico, 14 giugno 2007, n. 23
• Garante per la protezione dei dati personali, documento di indirizzo 14 maggio 2021
• Garante per la protezione dei dati personali, provvedimento 26 maggio 2022 [Nota redazionale: verificare il numero di raccolta del provvedimento 26 maggio 2022 prima della pubblicazione.]
• Garante per la protezione dei dati personali, provvedimento 10 novembre 2022
• Garante per la protezione dei dati personali, provvedimento 12 ottobre 2023
• Garante per la protezione dei dati personali, provvedimento 9 maggio 2024
• Garante per la protezione dei dati personali, regolamento n. 1/2000
• Garante per la protezione dei dati personali, regolamento n. 1/2019
• Comitato europeo per la protezione dei dati, Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR

L'articolo Dossier sanitario e accessi non autorizzati: il provvedimento del Garante n. 616 del 3 settembre 2026 — configurazione degli applicativi, alert automatici e responsabilità del titolare in un sistema informativo regionale condiviso proviene da 01magazine.

Una guida di settore diffusa nel settembre 2026 dall’autorità spagnola di protezione dei dati affronta in modo sistematico i criteri applicabili ai trattamenti biometrici nei sistemi di controllo degli accessi fisici, ricostruendo il rapporto fra principio di proporzionalità, divieto di trattamento delle categorie particolari di dati di cui all’art. 9 del Regolamento (UE) 2016/679, base di liceità ex art. 6, disciplina delle decisioni automatizzate dell’art. 22 e obblighi di gestione del rischio degli artt. 24, 25, 35 e 36. Il documento, di natura dichiaratamente orientativa, giunge a due approdi di rilievo: il carattere presuntivamente ad alto rischio della biometria negli accessi e l’insufficienza — nell’ordinamento spagnolo — di una base normativa specifica che autorizzi la biometria per la rilevazione delle presenze. Il presente contributo ne propone una lettura ragionata, ne verifica la trasponibilità nel contesto italiano alla luce dell’art. 2-septies del Codice, dell’art. 4 dello Statuto dei lavoratori e della prassi del Garante, e indica le implicazioni operative per titolari e DPO.

Premessa

In premessa va detto che la materia dei trattamenti biometrici non nasce oggi e che il perimetro di questa analisi è volutamente circoscritto. Il documento oggetto di esame — una guida dell’autorità spagnola di protezione dei dati sul trattamento nei sistemi biometrici di controllo degli accessi, datata settembre 2026 — non è una circolare né un atto generale, e il testo stesso lo dichiara con nettezza laddove precisa che si tratta di documento “informativo, orientativo e di supporto alla conformità”, che non introduce obblighi nuovi né modifica il contenuto di quelli già previsti dal Regolamento (UE) 2016/679 o dalla normativa nazionale spagnola. Trattasi, pertanto, di soft law: rilevante come ricostruzione interpretativa e come indicatore delle aspettative di vigilanza di un’autorità dello Spazio economico europeo, ma priva di efficacia precettiva diretta, tanto più fuori dai confini nazionali in cui è stata adottata.

Ciò premesso, l’interesse per il lettore italiano non è meramente comparatistico. Il nucleo dell’argomentazione poggia su disposizioni del GDPR — che è regolamento direttamente applicabile — e su nozioni tecniche (riferimento biometrico, irreversibilità, non collegabilità, revocabilità) che sono patrimonio comune della letteratura tecnico-normativa europea. Di conseguenza, l’esercizio utile non è chiedersi se la guida “valga” in Italia — non vale, in senso proprio — bensì verificare in quale misura le sue conclusioni siano compatibili con l’assetto italiano, che presenta una peculiarità marcata: l’art. 2-septies del decreto legislativo 196/2003, come modificato dal decreto legislativo 101/2018, subordina il trattamento dei dati biometrici al rispetto delle misure di garanzia adottate dal Garante, e l’art. 4 della legge 300/1970 introduce un filtro procedurale ulteriore quando lo strumento è impiegato nel rapporto di lavoro.

Il perimetro dell’analisi è dunque il controllo degli accessi fisici a luoghi o attività, con particolare attenzione al contesto lavorativo e alla rilevazione delle presenze; restano fuori l’identificazione biometrica remota nei luoghi accessibili al pubblico a fini di attività di contrasto, la biometria per finalità di sicurezza nazionale e i trattamenti disciplinati dalla direttiva (UE) 2016/680, che meriterebbero autonoma trattazione.

Le nozioni tecniche e la loro rilevanza giuridica

Un pregio del documento, che merita di essere segnalato, è il tentativo di costruire un vocabolario tecnico stabile prima di procedere alla qualificazione giuridica. L’operazione non è accademica: gran parte delle divergenze applicative in materia di biometria nasce dall’uso approssimativo di termini come “template”, “campione”, “impronta”, “modello”.

Il punto di partenza è l’art. 4, n. 14, del Regolamento (UE) 2016/679, che definisce i dati biometrici come i “dati personali ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l’identificazione univoca, quali l’immagine facciale o i dati dattiloscopici”. La definizione, come noto, è a due condizioni cumulative: occorre un trattamento tecnico specifico e occorre che l’esito consenta o confermi l’identificazione univoca. Una fotografia, di per sé, non è dato biometrico; lo diventa quando sia sottoposta a elaborazione volta a estrarne una rappresentazione utilizzabile per il confronto automatizzato.

Su questa base la guida introduce la nozione di “riferimento biometrico”, cioè la forma concreta in cui il dato viene creato, conservato, consultato e confrontato. Il riferimento può consistere in un campione biometrico — l’immagine dell’impronta o del volto —, in un tratto biometrico — ad esempio una rappresentazione vettoriale del volto —, in un template inteso come insieme di tratti, in un modello memorizzato eventualmente basato su tecniche di intelligenza artificiale, o in una combinazione di questi elementi. In sostanza, il riferimento biometrico non è pensato per essere letto da un essere umano ma per essere elaborato da una macchina, in modo efficiente ed efficace, per una finalità determinata.

Da qui discende un corollario che appare allo scrivente il più rilevante sul piano giuridico: perché il sistema funzioni, i riferimenti generati da due individui diversi devono essere chiaramente distinguibili. Ne consegue che il riferimento biometrico opera come identificatore, individualizza la persona all’interno di un dominio e la distingue da tutti gli altri appartenenti a quel dominio. Di conseguenza — sostiene la guida — un riferimento biometrico che consenta l’identificazione o l’autenticazione è non soltanto dato personale, ma dato biometrico e identificatore, a prescindere dalla finalità del trattamento; e se la finalità è per l’appunto identificare o autenticare, esso ricade fra le categorie particolari di dati.

In termini più pragmatici: l’argomento talvolta speso nella prassi secondo cui “il sistema non conserva l’impronta ma solo un codice matematico non reversibile” non è, di per sé, idoneo a sottrarre il trattamento all’art. 9. Il documento lo afferma espressamente laddove precisa che i riferimenti biometrici, “compresi quelli irreversibili, non collegabili o revocabili, mantengono la loro condizione di dati biometrici finché consentono l’identificazione o l’autenticazione di una persona”. Si ritiene che questa precisazione, nella sua apparente ovvietà, valga a chiudere una linea difensiva frequentemente proposta nei procedimenti e nelle valutazioni d’impatto.

Irreversibilità, non collegabilità, revocabilità

La guida dedica un passaggio specifico a tre proprietà di progettazione che non mutano la qualificazione del dato ma incidono in modo determinante sul livello di rischio. Un riferimento è “irreversibile” se dal medesimo non è possibile ricostruire il campione originario, ad esempio l’immagine del volto acquisita in fase di registrazione. Due o più riferimenti sono “non collegabili” quando non sia determinabile un’associazione fra di essi o con la persona da cui sono stati ottenuti; la proprietà opposta consentirebbe di correlare gli individui attraverso applicazioni e contesti diversi. Un riferimento è “revocabile” quando è possibile impedire che future operazioni di identificazione o autenticazione si basino su di esso, ed è “rinnovabile” quando è possibile generare per la stessa persona un identificatore nuovo e distinto.

La rilevanza giuridica di queste categorie è duplice. Sul piano dell’art. 25 del GDPR, esse costituiscono il contenuto concreto della progettazione conforme: la protezione dei dati fin dalla progettazione, in materia biometrica, si traduce prima di tutto nella scelta di architetture che assicurino irreversibilità, non collegabilità e revocabilità. Sul piano dell’art. 32 e della gestione delle violazioni, esse determinano la gravità dell’impatto: un riferimento irrevocabile esposto da una violazione non può essere sostituito, perché — come osserva il documento — le caratteristiche biometriche rappresentano “qualcosa che gli interessati sono” e non possono essere cambiate agevolmente come altri fattori di autenticazione. Appare chiaro allo scrivente che questa asimmetria strutturale rispetto alle credenziali tradizionali sia la ragione ultima della cautela con cui il legislatore europeo ha collocato la biometria identificativa fra le categorie particolari.

Registrazione, autenticazione, identificazione

Il documento distingue con nettezza tre momenti. La registrazione, o enrolment, è il presupposto necessario di qualunque controllo accessi: in tale fase l’identità della persona deve essere confermata in modo affidabile — tipicamente mediante un documento — perché, in difetto, l’intero trattamento successivo risulterebbe viziato. Alla registrazione segue l’associazione fra identificatori e attributi di autorizzazione, cioè le informazioni che stabiliscono che cosa quella persona può fare: accedere a una certa area, occupare un certo posto, non accedere a un’altra area.

Rispetto alla conservazione dei riferimenti generati in fase di registrazione, la guida individua tre assetti alternativi: la conservazione sotto il controllo esclusivo del titolare in una banca dati; la conservazione sotto il controllo dell’interessato, su una carta o un dispositivo personale, eventualmente cifrata con un segreto noto soltanto a quest’ultimo; la conservazione condivisa, che può realizzarsi distribuendo il riferimento in parti fra banca dati del titolare e dispositivo dell’interessato, oppure conservandolo presso il titolare ma cifrato con un segreto dell’interessato, oppure ancora combinando le due tecniche.

Nell’autenticazione l’interessato dichiara preliminarmente la propria identità — esibendo una tessera o un dispositivo — e il riferimento generato al varco viene confrontato uno a uno con quello registrato. Nell’identificazione l’interessato non dichiara alcuna identità: ciò implica necessariamente l’esistenza di una banca dati sotto il controllo del titolare contenente i riferimenti di tutti i soggetti registrati, e il confronto avviene uno a molti contro l’intero archivio.

Si ritiene che questa tripartizione debba costituire il primo snodo di ogni valutazione d’impatto in materia: non “usiamo il riconoscimento facciale”, ma “usiamo un’autenticazione uno a uno con riferimento conservato sul dispositivo dell’interessato” oppure “usiamo un’identificazione uno a molti contro archivio centralizzato”. Le due configurazioni condividono la qualificazione giuridica ma divergono radicalmente quanto a rischio inerente.

Il quadro normativo di riferimento

La disciplina europea

L’ossatura è nota e si compone di più strati. Il divieto generale di trattare categorie particolari di dati è posto dall’art. 9, par. 1, del Regolamento (UE) 2016/679, che include fra tali categorie i dati biometrici “intesi a identificare in modo univoco una persona fisica”. Il divieto è superabile soltanto al ricorrere di una delle circostanze tassativamente elencate al par. 2. La guida sottolinea — e la sottolineatura merita di essere ripresa — che fra tali circostanze non figurano né il legittimo interesse, né l’esecuzione di un contratto, né le misure precontrattuali. Ne consegue che l’argomento, talora avanzato, secondo cui la biometria sarebbe giustificata dall’interesse dell’impresa alla sicurezza dei propri locali non può operare sul piano dell’art. 9, ancorché possa astrattamente rilevare, come vedremo, su quello dell’art. 6.

Il superamento del divieto non esaurisce però l’analisi: occorre altresì una condizione di liceità ai sensi dell’art. 6, par. 1. La guida osserva, con formulazione condivisibile, che la rimozione del divieto e la ricerca della base di legittimità sono “molto probabilmente azioni congiunte e indistinguibili”, nel senso che la medesima situazione di fatto — il consenso esplicito, la previsione di legge — tende a fondare entrambe. Nei casi delle lettere c) ed e) dell’art. 6, par. 1, la base normativa richiesta dall’art. 6, par. 3, deve coincidere con quella invocata; quando si invoca la lettera f) occorre il bilanciamento fra interessi legittimi del titolare e diritti e libertà fondamentali dell’interessato, con attenzione rafforzata ove quest’ultimo sia un minore.

Segue il presidio dell’art. 22, che circoscrive le decisioni basate unicamente sul trattamento automatizzato che producano effetti giuridici o incidano in modo analogamente significativo. Il par. 4 dello stesso articolo vieta che tali decisioni si fondino su categorie particolari di dati, salvo che ricorra il consenso esplicito ai sensi dell’art. 9, par. 2, lett. a), oppure l’autorizzazione per motivi di interesse pubblico rilevante ai sensi della lett. g), e salvo che siano state adottate misure adeguate a tutela dei diritti, delle libertà e dei legittimi interessi dell’interessato.

Vi è poi il blocco della gestione del rischio: l’art. 24, par. 1, sulla responsabilizzazione e sulle misure adeguate; l’art. 25 sulla protezione dei dati fin dalla progettazione e per impostazione predefinita; l’art. 35 sulla valutazione d’impatto, con il par. 7, lett. b), che impone espressamente la valutazione della necessità e proporzionalità dei trattamenti rispetto alle finalità; l’art. 36 sulla consultazione preventiva quando il rischio residuo resti elevato nonostante le misure previste, letto alla luce del considerando 94.

Infine, per il contesto lavorativo, l’art. 88 riconosce agli Stati membri la facoltà di prevedere norme più specifiche, anche mediante contratti collettivi, per garantire la protezione dei diritti e delle libertà con riguardo al trattamento dei dati personali dei dipendenti.

A questo impianto si aggiunge il Regolamento (UE) 2024/1689 sull’intelligenza artificiale, entrato in vigore il 1° agosto 2024 e applicabile in modo scaglionato. La guida vi accenna in termini prudenti ma corretti: quando i sistemi biometrici incorporano tecniche di intelligenza artificiale, la relativa disciplina europea va presa in considerazione perché può stabilire divieti, limitazioni e obblighi ulteriori in funzione delle caratteristiche, della finalità e del contesto d’uso del sistema, e la sua applicazione si intende comunque “senza pregiudizio del pieno rispetto del GDPR”. Si ritiene che il punto meriti attenzione operativa crescente: numerosi sistemi di controllo accessi con riconoscimento del volto rientrano nella nozione di sistema di identificazione biometrica remota o comunque nelle categorie di sistemi ad alto rischio individuate dal regolamento, con conseguenti obblighi documentali, di gestione della qualità e di registrazione che si cumulano — e non si sostituiscono — a quelli del GDPR. Non si ha evidenza, allo stato, di prassi consolidate di coordinamento fra valutazione d’impatto sulla protezione dei dati e valutazione d’impatto sui diritti fondamentali prevista dal medesimo regolamento per taluni deployer; il coordinamento fra i due adempimenti costituisce, allo stato, un cantiere aperto.

La disciplina nazionale spagnola richiamata dal documento

La guida si muove entro un contesto normativo proprio, che è utile riassumere per comprenderne gli approdi. Sul piano del lavoro vengono in rilievo l’art. 20.3 del testo consolidato dello Statuto dei lavoratori, approvato con Real Decreto Legislativo 2/2015, che riconosce al datore la facoltà di adottare le misure di vigilanza e controllo ritenute più opportune per verificare l’adempimento degli obblighi del lavoratore, nel rispetto della sua dignità; l’art. 34.9 del medesimo testo, introdotto dal Real Decreto-ley 8/2019, che impone la registrazione giornaliera dell’orario con indicazione dell’ora di inizio e fine della prestazione, la conservazione dei registri per quattro anni e la loro disponibilità per lavoratori, rappresentanti e ispettorato; l’art. 54.2 del testo consolidato dello Statuto di base dell’impiego pubblico, approvato con Real Decreto Legislativo 5/2015, per il personale in regime di rapporto amministrativo. Sul piano della protezione dei dati rilevano la legge organica spagnola in materia — richiamata con la sigla corrente LOPDGDD — e in particolare il suo art. 91 sulle garanzie che i contratti collettivi possono stabilire.

Va detto che questo impianto non è sovrapponibile a quello italiano, e la circostanza va tenuta presente quando si valuti la trasponibilità delle conclusioni.

Il quadro italiano

Nel nostro ordinamento il trattamento dei dati biometrici incontra un presidio ulteriore rispetto al solo GDPR. L’art. 2-septies del decreto legislativo 196/2003 stabilisce che i dati genetici, biometrici e relativi alla salute possono essere oggetto di trattamento in presenza di una delle condizioni di cui all’art. 9, par. 2, del Regolamento e in conformità alle misure di garanzia disposte dal Garante, adottate con cadenza almeno biennale e tenendo conto, fra l’altro, dell’evoluzione scientifica e tecnologica e dell’interesse alla libera circolazione dei dati. Il medesimo articolo prevede che tali misure possano individuare ulteriori condizioni sulla cui base il trattamento è consentito, comprese misure di sicurezza, obblighi di valutazione d’impatto e limiti alla conservazione. Si tratta di un rinvio che, per quanto di stretto interesse in questa sede, colloca l’autorità nazionale in una posizione di regolatore tecnico e non soltanto di vigilante.

Vi è poi la disciplina lavoristica. L’art. 4 della legge 300/1970, come riscritto dal decreto legislativo 151/2015, subordina l’impiego di impianti audiovisivi e altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori all’accordo con le rappresentanze sindacali o, in difetto, all’autorizzazione dell’ispettorato del lavoro, e ciò soltanto ove ricorrano esigenze organizzative e produttive, di sicurezza del lavoro o di tutela del patrimonio aziendale; il comma 2 esclude da tale procedura gli strumenti utilizzati dal lavoratore per rendere la prestazione e quelli di registrazione degli accessi e delle presenze, mentre il comma 3 subordina in ogni caso l’utilizzabilità delle informazioni raccolte all’adeguata informazione sulle modalità d’uso e di effettuazione dei controlli e al rispetto della disciplina di protezione dei dati. L’esclusione del comma 2 riguarda gli strumenti di registrazione degli accessi e delle presenze in quanto tali, e la prassi applicativa ha chiarito che essa non vale a legittimare qualunque tecnologia impiegata per quella finalità: la scelta di realizzare la rilevazione mediante caratteristiche biometriche resta soggetta al vaglio di proporzionalità e alla disciplina di protezione dei dati, che opera autonomamente. Infine l’art. 114 del Codice conferma l’art. 4 dello Statuto quale condizione di liceità.

Il Garante, per parte sua, è intervenuto in materia con un provvedimento generale prescrittivo in tema di biometria adottato il 12 novembre 2014, corredato di linee guida, che già allora distingueva le tipologie di trattamento consentite in funzione del rapporto fra finalità e grado di invasività, ammettendo con particolare rigore l’uso della biometria per il controllo degli accessi ad aree a rischio e mostrandosi assai restrittivo rispetto all’impiego per la mera rilevazione delle presenze. Nella prassi successiva all’applicazione del Regolamento l’Autorità ha ribadito in più occasioni, in sede di procedimenti sanzionatori, che l’utilizzo di dati biometrici per la rilevazione delle presenze del personale non trova nell’ordinamento italiano una previsione normativa sufficientemente specifica ai sensi dell’art. 9, par. 2, lett. b), del GDPR e che il consenso del lavoratore non può di regola considerarsi liberamente prestato.

La convergenza fra l’approdo spagnolo e quello italiano è, su questo specifico punto, notevole; e proprio tale convergenza rende l’analisi del documento particolarmente utile al lettore nazionale.

Il test di proporzionalità come architrave dell’analisi

La guida costruisce l’intero ragionamento attorno al principio di proporzionalità, richiamato quale principio generale del diritto dell’Unione e declinato secondo la triplice scansione — idoneità, necessità, proporzionalità in senso stretto — che la giurisprudenza costituzionale spagnola ha consolidato e che il documento riporta citando la sentenza della Corte Costituzionale Spagnola 14/2003 del 28 gennaio, secondo cui occorre verificare “se la misura è idonea a conseguire l’obiettivo proposto (giudizio di idoneità); se, inoltre, è necessaria, nel senso che non esista altra misura più moderata per il conseguimento di tale scopo con uguale efficacia (giudizio di necessità); e, infine, se è ponderata o proporzionata, in quanto ne derivino più benefici o vantaggi per l’interesse generale che pregiudizi ad altri beni o valori in conflitto (giudizio di proporzionalità in senso stretto)”.

Idoneità

Perché il trattamento sia idoneo — o “adeguato”, nel lessico del principio di minimizzazione di cui all’art. 5, par. 1, lett. c), del GDPR — deve consentire il conseguimento della finalità con livelli di qualità adeguati, tenendo conto che nessun trattamento è esente da errori o frodi. Occorre pertanto un nesso logico e diretto fra trattamento e obiettivo, e occorre determinare l’efficacia reale mediante evidenze oggettive.

Il documento raccomanda la definizione di metriche sugli obiettivi necessari e un’analisi oggettiva dell’adeguatezza delle diverse opzioni tecniche, biometria inclusa. In particolare, richiede di verificare se possa sussistere una carenza di accuratezza dei dati ottenuti, per mancato adattamento al tipo umano medio assunto a riferimento dal titolare: carenza che può concretizzarsi in distorsioni nella profilazione, identificazioni errate, furti d’identità, discriminazioni in segmenti di popolazione — sono menzionati anziani, persone con disabilità, tipologie razziali, persone malate — o diniego di accesso a servizi per errori di acquisizione.

Vi è, in questo passaggio, un profilo che appare allo scrivente sottovalutato nella prassi italiana: l’idoneità non è un requisito puramente formale, ma impone al titolare di procurarsi evidenze — tassi di falsa accettazione e falso rigetto, prestazioni differenziali su gruppi demografici, condizioni ambientali di funzionamento — che raramente il fornitore mette spontaneamente a disposizione. Si ritiene che la richiesta documentale al fornitore su tali metriche debba divenire parte ordinaria del processo di acquisto.

Simmetricamente, il documento osserva che un trattamento basato su dati non biometrici può risultare inidoneo a seconda della sua utilità rispetto alla finalità specifica: affidarsi soltanto a tessere — qualcosa che si possiede — o a codici — qualcosa che si conosce — può essere inadeguato quando tali fattori possano essere facilmente condivisi o utilizzati da terzi in modo incompatibile con la finalità. È un’annotazione di equilibrio, che impedisce di trasformare il test di necessità in un divieto implicito e assoluto della biometria.

Necessità

Il giudizio di necessità impone che la misura non sia più onerosa di altre, biometriche o meno, che raggiungano la finalità con uguale efficacia. Il documento àncora il requisito all’art. 5, par. 1, lett. c), del Regolamento, secondo cui i dati devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”, e al considerando 39, che precisa come i dati personali dovrebbero essere trattati solo se la finalità del trattamento non è ragionevolmente conseguibile con altri mezzi.

Due precisazioni meritano di essere valorizzate. La prima: il principio di proporzionalità non esclude l’uso di sistemi biometrici per la mera esistenza di altri possibili mezzi di identificazione o autenticazione; l’alternativa meno intrusiva deve consentire di soddisfare le esigenze che giustificano il trattamento in modo “ugualmente efficace”, non semplicemente essere astrattamente praticabile. La seconda: la valutazione compete al titolare, che conosce il contesto, le finalità specifiche, i mezzi disponibili e le alternative tecnicamente e organizzativamente praticabili, e che in forza del principio di responsabilizzazione deve essere in grado di giustificare tanto il livello di efficacia richiesto in quel contesto quanto l’inesistenza di un’alternativa meno intrusiva capace di raggiungerlo in misura equivalente.

Il documento estende poi il test alla multibiometria: quando si trattino più caratteristiche congiuntamente — volto e palmo della mano, oppure entrambe le iridi — non basta giustificare il ricorso alla biometria, ma occorre dimostrare che il trattamento di un numero inferiore di caratteristiche non sarebbe ugualmente efficace. Inoltre i titolari devono valutare se precisione, dettaglio o frequenza di raccolta eccedano le esigenze specifiche: e qui il testo formula un criterio che si ritiene di particolare utilità operativa, secondo cui il trattamento non può considerarsi limitato al necessario se i dati biometrici rivelano informazioni ulteriori sulla persona, quali l’origine razziale o etnica, le emozioni o attributi relativi alla salute. In termini più concreti: un sistema che, per identificare, acquisisca e conservi anche indicatori emotivi o fisiologici non pertinenti eccede il necessario a prescindere dall’uso che di tali indicatori si faccia.

Infine, e non è dettaglio marginale, il documento invita a esplorare anche alternative non tecnologiche, quale l’impiego di risorse umane. Nella prassi di audit accade di rado che tale opzione sia stata documentalmente considerata.

Proporzionalità in senso stretto

Il terzo giudizio richiede che la misura non imponga un onere eccessivo ai diritti incisi rispetto al beneficio ottenuto. Vanno stimati la natura dell’interferenza — cioè in che modo diritti e libertà sono limitati o posti a rischio —, l’ampiezza del trattamento, il contesto di applicazione e la natura dell’attività assoggettata alla misura; vanno inoltre analizzate le possibili interferenze con la sfera di persone diverse dall’interessato, ad esempio la captazione di dati biometrici di soggetti che si trovino nelle vicinanze del varco.

La conclusione del documento è che il trattamento biometrico nel controllo accessi può considerarsi sproporzionato quando comporti un rischio elevato per i diritti e le libertà in presenza di alternative ugualmente efficaci a rischio minore, oppure quando non sia possibile applicare garanzie e misure di mitigazione idonee a ridurre il rischio residuo a un livello accettabile. È, in sostanza, il punto di saldatura fra test costituzionale di proporzionalità e approccio basato sul rischio del GDPR: due linguaggi distinti che convergono sul medesimo esito.

La qualificazione come categoria particolare e i due percorsi per rimuovere il divieto

Il documento ribadisce che i dati biometrici sono categoria particolare quando trattati al fine di identificare univocamente una persona fisica, e che tale è il caso della registrazione biometrica e dei trattamenti di controllo accessi. Precisa inoltre che ciò vale indipendentemente dal fatto che il confronto sia uno a uno o uno a molti, che si miri ad accertare l’esistenza o l’inesistenza di un riferimento in banca dati, che siano o meno recuperati riferimenti identitari associati.

Vi è però un passaggio di notevole finezza, che introduce una graduazione. Pur riconoscendo che da un punto di vista formale i predetti usi rientrano nell’art. 9, il documento osserva che “l’impatto reale sui diritti e l’intensità delle misure di protezione richieste possono variare sostanzialmente” e vanno valutati caso per caso in funzione del contesto, della scala, della tecnologia utilizzata e del controllo effettivo che l’interessato conserva sui propri dati biometrici. Questa graduazione si riflette, secondo il testo, anche sui requisiti per la rimozione del divieto e sulla densità normativa richiesta: il principio di legalità impone non soltanto una base legale astratta, ma un grado sufficiente di precisione e prevedibilità proporzionato al rischio e all’impatto, sicché non è possibile esigere la medesima densità normativa per un’identificazione massiva e automatizzata all’insaputa dell’interessato e per un’autenticazione puntuale, localizzata e consentita, in cui l’interessato conserva il controllo effettivo sui propri dati.

Si ritiene che si tratti di una delle affermazioni più significative dell’intero documento, e insieme della più delicata. Significativa perché razionalizza una prassi altrimenti binaria; delicata perché introduce un criterio di proporzionalità “a monte”, sul piano della base giuridica, che non trova un appiglio testuale esplicito nell’art. 9 e che potrebbe prestarsi a letture eccessivamente elastiche. Secondo il parere di chi scrive l’impostazione è condivisibile se intesa come criterio di modulazione dell’onere probatorio e dell’intensità delle garanzie, e non come attenuazione del requisito della base normativa laddove esso è richiesto.

Il consenso

Il consenso può rimuovere il divieto e legittimare il trattamento, ma — trattandosi di dati specialmente protetti — devono ricorrere tutte le garanzie proprie del consenso, con richiamo espresso alle Linee guida 5/2020 del Comitato europeo per la protezione dei dati. Il consenso deve essere libero, specifico, informato e inequivocabile, e per i dati dell’art. 9 esplicito.

Il titolare deve essere in grado di dimostrare che il consenso è stato prestato liberamente, senza pressioni o indebite influenze, e che esiste un’alternativa reale e certa. Ciò si traduce nella predisposizione di un metodo alternativo ragionevole, che può comportare la coesistenza di due meccanismi di controllo accessi “evidentemente non uguali”; tuttavia tale metodo alternativo non deve imporre un onere, una penalizzazione o un pregiudizio evidente o voluto, né rappresentare un trattamento chiaramente gravoso, quali tempi di attesa più lunghi o costi aggiuntivi.

Il documento non esclude che il consenso possa essere prestato in contesti caratterizzati da squilibrio di potere — autorità e cittadini, datori e lavoratori, istituzioni educative e studenti — ma richiede in tali ipotesi un esame particolarmente rigoroso. Va detto che, sul punto, l’orientamento del Garante italiano appare tradizionalmente più cauto, essendo ricorrente l’affermazione secondo cui nel rapporto di lavoro il consenso non costituisce di regola idonea base giuridica proprio per l’asimmetria strutturale fra le parti. Non si tratta, a ben vedere, di una divergenza radicale: anche la guida esige che l’alternativa sia reale ed effettiva e che il rifiuto non produca conseguenze pregiudizievoli, il che nella pratica riduce assai lo spazio del consenso in ambito lavorativo.

L’autorizzazione normativa

Il secondo percorso passa per le lettere b), g) e i) dell’art. 9, par. 2: la normativa in materia di diritto del lavoro e sicurezza sociale, i motivi di interesse pubblico rilevante, la sanità pubblica. L’autorizzazione può derivare dal diritto dell’Unione o dello Stato membro e, in ambito lavoristico, anche da un contratto collettivo ai sensi del diritto nazionale. La normativa abilitante deve far derivare con chiarezza la finalità del trattamento, può specificare tipologie di dati, limitazioni di finalità, soggetti interessati e altre condizioni, deve essere proporzionata all’obiettivo perseguito e stabilire garanzie adeguate per i diritti fondamentali e gli interessi dell’interessato.

Il nodo della rilevazione delle presenze

È qui che il documento assume la posizione più netta, e vale la pena di riportarne il percorso argomentativo.

Muovendo dall’art. 9, par. 2, lett. b), del GDPR, che rimuove il divieto quando il trattamento è necessario per assolvere obblighi ed esercitare diritti specifici in materia di diritto del lavoro e sicurezza sociale “nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato”, il documento richiama il parere 2/2022 dell’autorità catalana di protezione dei dati, secondo cui “l’incidenza sul diritto alla protezione dei dati derivante dalla previsione deve essere prevedibile” e “una previsione non può considerarsi prevedibile se non specifica la possibilità di utilizzare dati biometrici a fini di rilevazione delle presenze”.

Da questa premessa discende un esito di rilievo istituzionale: il documento dichiara espressamente che ciò obbliga a riconsiderare l’interpretazione resa dalla stessa autorità nella sezione dedicata ai dati biometrici del capitolo 4.6 della guida “Protezione dei dati nei rapporti di lavoro” del maggio 2021. Richiamando altresì il parere 1/2023 del Consiglio andaluso per la trasparenza e la protezione dei dati, conclude che nell’ordinamento spagnolo vigente non esiste un’autorizzazione sufficientemente specifica per ritenere necessario il trattamento di dati biometrici a fini di rilevazione delle presenze: né per il personale dipendente, non contenendo tale autorizzazione gli artt. 20.3 e 34.9 dello Statuto dei lavoratori; né per il personale in rapporto amministrativo, non costituendo autorizzazione necessaria la previsione sull’osservanza dell’orario di cui all’art. 54.2 dello Statuto di base dell’impiego pubblico. Il documento auspica pertanto un quadro regolatorio che disciplini specificamente, con garanzie adeguate, il possibile trattamento di dati biometrici in ambito lavorativo.

Quanto alla base di liceità, la guida osserva che la rilevazione oraria è obbligo di legge gravante sul datore e che pertanto il trattamento di registrazione dell’orario trova fondamento nell’art. 6, par. 1, lett. c), del GDPR. Ma — ed è il punto decisivo — l’esistenza della base di liceità per la rilevazione delle presenze non dice nulla circa la legittimità di realizzarla mediante biometria: l’obbligo legale riguarda il “che cosa” registrare, non il “come” acquisire il dato. Il salto logico fra i due piani è, nella prassi, uno degli errori più frequenti.

Il documento non esclude in radice il ricorso al consenso esplicito ai sensi dell’art. 9, par. 2, lett. a), purché ricorrano tutti i requisiti di validità e in particolare esista una possibilità reale di optare per mezzi alternativi di controllo accessi o di rilevazione presenze che non implichino trattamento biometrico; il titolare deve poter provare che la scelta è reale ed effettiva e che l’alternativa non comporta oneri, costi, penalizzazioni, svantaggi o riduzioni, e la revoca o il rifiuto del consenso non può avere conseguenze pregiudizievoli per il lavoratore.

Per il lettore italiano la trasposizione richiede prudenza ma conduce a un esito analogo. L’art. 4 della legge 300/1970 e l’art. 114 del Codice non contengono alcuna previsione che autorizzi specificamente il trattamento di caratteristiche biometriche per la rilevazione delle presenze; la circostanza che il comma 2 dell’art. 4 sottragga alla procedura autorizzativa gli strumenti di registrazione degli accessi e delle presenze non equivale a un’autorizzazione ai sensi dell’art. 9, par. 2, lett. b), del Regolamento, poiché quella disposizione disciplina il procedimento di installazione e non la qualità dei dati trattabili. Vi è inoltre, nel nostro ordinamento, il filtro ulteriore dell’art. 2-septies del Codice. Si ritiene pertanto che l’approdo spagnolo sia sostanzialmente coerente con l’orientamento maturato in Italia, e che chi intenda impiegare la biometria per la rilevazione delle presenze si trovi, allo stato, in una posizione di conformità difficilmente sostenibile.

L’appalto e la somministrazione

Un paragrafo specifico affronta l’ipotesi in cui il personale operi presso un committente. La distribuzione delle responsabilità fra committente e appaltatore è determinata dalle funzioni effettivamente svolte, a prescindere dal nome che le parti attribuiscono al rapporto contrattuale: occorre stabilire quale soggetto decida finalità e mezzi essenziali del trattamento biometrico e se le entità agiscano come titolari autonomi, contitolari o, rispetto a operazioni determinate, come titolare e responsabile.

Il documento ricorda poi l’obbligo del responsabile, ai sensi dell’art. 28, par. 3, del GDPR, di informare immediatamente il titolare qualora ritenga che un’istruzione violi il Regolamento o altre disposizioni in materia; e ne trae la conclusione che, quando le condizioni del Regolamento non siano soddisfatte, l’entità appaltatrice non potrà legittimamente implementare la rilevazione delle presenze o il controllo accessi con tecniche biometriche per il solo fatto che tale uso le sia stato contrattualmente imposto dalla committente. Si tratta, a ben vedere, dell’applicazione di un principio elementare — il contratto non deroga alla norma imperativa — che tuttavia nella prassi degli appalti viene frequentemente disatteso.

La gestione del rischio e i fattori di rischio elevato

Il documento chiarisce che la rimozione del divieto e l’individuazione della base di liceità non esauriscono i requisiti: prima di qualunque decisione di implementazione occorre una gestione del rischio ai sensi dell’art. 24, par. 1, e, in conseguenza di essa, misure di protezione fin dalla progettazione e per impostazione predefinita ai sensi dell’art. 25, nonché misure tecniche e organizzative adeguate. Quando sia probabile che il trattamento presenti un rischio elevato, occorre una valutazione d’impatto prima dell’avvio, che documenti identificazione e valutazione dei rischi, misure previste e rischio residuo, e che valuti necessità e proporzionalità ai sensi dell’art. 35, par. 7, lett. b), dando conto del superamento del triplice test.

Particolarmente utile è l’elencazione degli elementi di progettazione che i titolari devono valutare per determinare se il trattamento possa presentare un rischio inerente elevato: dati biometrici sotto il controllo esclusivo del titolare; riferimenti reversibili, collegabili o irrevocabili; registrazione biometrica remota o non supervisionata; carattere massivo del trattamento; coinvolgimento di terzi.

La ratio di ciascuno è esplicitata. I sistemi in cui i dati sono sotto il controllo esclusivo del titolare presentano un rischio inerente maggiore per tutte le persone registrate, poiché — indipendentemente dalla destinazione a verifica o identificazione — le relative banche dati potrebbero essere utilizzate per identificare tali persone senza la loro partecipazione attiva, o per finalità diverse da quelle originariamente previste o consentite; il rischio si attenua con il controllo condiviso e si evita quando il dato è sotto il controllo esclusivo dell’interessato, protetto mediante segreto e revocabile. I riferimenti reversibili comportano maggior rischio di furto d’identità o altre forme di uso improprio. I riferimenti collegabili consentono di correlare gli interessati fra applicazioni diverse nella medesima banca dati o fra più banche dati. I riferimenti irrevocabili accrescono il rischio in caso di violazione e rendono impossibile stabilire periodi di validità o politiche di scadenza. La registrazione remota o non supervisionata aumenta il rischio di furto d’identità, frode o violazione durante la trasmissione, per la maggiore complessità di una verifica affidabile dell’identità. Il coinvolgimento di terzi accresce in misura significativa i rischi inerenti, inclusi accessi non autorizzati e violazioni.

Il documento aggiunge un’annotazione realistica: nella pratica le tecnologie biometriche offrono gradi diversi di irreversibilità, non collegabilità e revocabilità, che possono dar luogo a rischi residui non mitigabili a un livello accettabile. È l’ipotesi, non teorica, in cui la valutazione d’impatto conduce a un esito negativo e impone la consultazione preventiva o l’abbandono del progetto.

Si segnala inoltre la distinzione fra operazione biometrica e sua implementazione concreta: la scelta di sensori, protocolli di comunicazione, librerie di codice, dispositivi ospitanti, modalità di archiviazione anche in cloud introduce gradi diversi di qualità, certificazione, verificabilità, sicurezza e coinvolgimento di terzi, e può far emergere rischi ulteriori o situazioni di non conformità, quali trasferimenti internazionali privi di garanzie adeguate; situazioni che possono riemergere in occasione di rinnovi o aggiornamenti di componenti dopo la messa in produzione. Da qui la raccomandazione di riesaminare periodicamente il rischio, o comunque al verificarsi di modifiche significative di ordine giuridico, tecnico od organizzativo.

Quanto alle violazioni di dati personali, il documento invita a considerare almeno gli scenari di esfiltrazione o perdita dei pattern biometrici, uso malevolo dei pattern conservati, intrusione nel sistema di analisi e nei suoi risultati, intercettazione delle comunicazioni fra sistemi, attacchi di negazione del servizio, discontinuità di servizi propri o di terzi; e sottolinea la necessità di conoscere quali violazioni stiano effettivamente verificandosi nel contesto, poiché esse possono determinare l’inadeguatezza sopravvenuta di una specifica tecnica biometrica, della biometria in generale o delle garanzie implementate.

Profili critici

Un primo profilo attiene alla natura dell’atto. Il documento si autoqualifica come non vincolante e precisa che i riferimenti interpretativi in esso contenuti non sostituiscono l’analisi giuridica del caso concreto né predeterminano l’esercizio dei poteri di indagine, vigilanza e correzione dell’autorità. Va tuttavia osservato che un atto siffatto, pur privo di efficacia normativa, orienta in misura significativa le aspettative di conformità e, di fatto, il contenuto delle valutazioni d’impatto. Il rischio — segnalato con misura — è quello di una progressiva stratificazione di soft law nazionali non perfettamente allineate fra loro, con effetti di frammentazione in un mercato interno che il Regolamento intendeva unificare. Si suggerisce che il tema meriti un intervento di armonizzazione a livello di Comitato europeo per la protezione dei dati, che pure in passato si è occupato di biometria in ambiti contigui.

Un secondo profilo riguarda la già segnalata “scalabilità” della densità normativa. L’idea che il grado di precisione richiesto alla norma abilitante debba essere proporzionato al rischio è dogmaticamente sostenibile alla luce della giurisprudenza sulla qualità della legge in materia di limitazioni ai diritti fondamentali, ma la sua applicazione richiede cautela: si ritiene che essa non possa condurre ad ammettere che una previsione generica — quale quella sul potere direttivo e di controllo del datore — basti a fondare trattamenti biometrici puntuali, poiché il requisito minimo di prevedibilità resta comunque quello indicato dal parere dell’autorità catalana richiamato dal documento stesso.

Un terzo profilo, di ordine pratico, concerne la dimostrazione dell’inesistenza di alternative “ugualmente efficaci”. Si tratta di una prova negativa, notoriamente difficile, che il documento colloca interamente sul titolare. La prassi di audit mostra che essa viene affrontata, quando lo è, con documenti generici e postumi. Appare chiaro allo scrivente che, per reggere a un controllo, la valutazione debba essere contemporanea alla decisione di acquisto, fondata su metriche verificabili e conservata insieme alla documentazione di gara o di selezione del fornitore.

Un quarto profilo riguarda il coordinamento con il Regolamento (UE) 2024/1689. Il documento vi accenna in modo corretto ma sintetico. Non si ha evidenza, nel testo esaminato, di indicazioni operative sul rapporto fra ruoli del GDPR e ruoli del regolamento sull’intelligenza artificiale, né sulla possibile integrazione documentale fra valutazione d’impatto sulla protezione dei dati e adempimenti richiesti al deployer di sistemi ad alto rischio. Si tratta, allo stato, di una lacuna comune a gran parte della prassi europea.

Un quinto profilo, infine, riguarda l’accessibilità. Il documento menziona la necessità di metodi alternativi quando gli interessati non possano utilizzare il sistema per disabilità temporanea o permanente, o in caso di guasto, interruzione o malfunzionamento, o di incidenti nell’interazione fra utente e sistema. Va segnalato che tale esigenza non è soltanto di protezione dei dati ma anche di non discriminazione, e che nel contesto italiano essa si intreccia con la normativa sull’accessibilità e con gli obblighi di adattamento ragionevole.

Che cosa devono fare, in concreto, titolari e DPO

Sul piano operativo, il primo adempimento riguarda la mappatura dei sistemi esistenti: prima di ogni valutazione occorre censire quali varchi, terminali, tornelli, chioschi e applicazioni mobili trattino caratteristiche fisiche, fisiologiche o comportamentali, distinguendo con precisione se l’operazione sia di autenticazione uno a uno o di identificazione uno a molti e dove risieda il riferimento biometrico, se presso il titolare, presso l’interessato o in forma condivisa; l’esperienza applicativa dei sistemi di gestione mostra che questa ricognizione, apparentemente banale, rivela spesso funzionalità biometriche attivate di default su dispositivi acquistati per altra finalità. Da tale censimento discende immediatamente la riqualificazione delle attività nel registro dei trattamenti, con indicazione espressa della categoria particolare di dati e della circostanza invocata ai sensi dell’art. 9, par. 2.

Segue l’adempimento più delicato, cioè la verifica della base giuridica a doppio livello: occorre individuare tanto la circostanza che rimuove il divieto quanto la condizione di liceità dell’art. 6, e occorre farlo separatamente per ciascuna finalità, poiché — come il documento avverte — qualunque uso dei dati biometrici per finalità aggiuntive rispetto al controllo accessi deve disporre di proprie circostanze di rimozione del divieto e di proprie condizioni di legittimazione. In ambito lavorativo, e in particolare per la rilevazione delle presenze, si suggerisce di documentare espressamente perché non si ritenga applicabile l’art. 9, par. 2, lett. b), in assenza nell’ordinamento italiano di una previsione specifica che autorizzi la biometria a tal fine, e di valutare con estremo rigore l’eventuale ricorso al consenso, che presuppone un’alternativa non biometrica realmente equivalente e priva di aggravi.

In parallelo va condotta la valutazione d’impatto, che in questa materia non è opzione ma regola, e che deve incorporare esplicitamente il triplice test: la sezione sull’idoneità deve contenere metriche di prestazione e dati sulle prestazioni differenziali per gruppi demografici; la sezione sulla necessità deve dare conto delle alternative esaminate, incluse quelle non tecnologiche, e delle ragioni per cui non raggiungono un’efficacia equivalente; la sezione sulla proporzionalità in senso stretto deve stimare natura, ampiezza e contesto dell’interferenza, comprese le possibili interferenze sulla sfera di terzi presenti nei pressi del varco. Ove il rischio residuo resti elevato, si impone la consultazione preventiva dell’autorità ai sensi dell’art. 36.

Sul piano della progettazione, l’adempimento centrale è la scelta architetturale: si suggerisce di privilegiare, ove tecnicamente praticabile, la conservazione del riferimento sotto il controllo esclusivo dell’interessato su dispositivo o supporto personale, con protezione mediante segreto noto soltanto a quest’ultimo, evitando archivi centralizzati; e di esigere dal fornitore evidenza documentale circa irreversibilità, non collegabilità e revocabilità dei riferimenti generati. A ciò si collega la separazione degli identificatori, che impone di conservare distintamente riferimenti identitari e riferimenti biometrici, di prevedere la possibilità di revocare il collegamento fra i due e di adottare formati o tecnologie che ostacolino l’interconnessione fra banche dati biometriche e la divulgazione non autorizzata.

Quanto alle misure di sicurezza, vengono in rilievo la cifratura dei dati biometrici sia in conservazione sia in trasmissione, quale presidio complementare alla protezione basata sul segreto a livello di singolo riferimento; il ricorso a dispositivi dedicati e certificati, dei quali va garantita integrità e configurazione, con attivazione di allerte agli amministratori in caso di operazioni non autorizzate o tentativi di manomissione, e con conservazione dei dati su dispositivi personali entro enclave sicure e loro elaborazione in ambienti di esecuzione affidabili; la preferenza per il confronto locale, eseguito sul dispositivo personale o sul terminale dedicato, così da minimizzare la trasmissione verso sistemi remoti; e la collocazione dei chioschi accessibili al pubblico in luoghi che offrano adeguata riservatezza e sicurezza, non connessi a Internet, con accesso alle funzioni amministrative e di configurazione riservato al personale autorizzato.

Sul versante della conservazione, si impone la definizione dei tempi in funzione della natura del trattamento, della frequenza delle operazioni di accesso e dei requisiti di sicurezza applicabili, con cancellazione sicura dei riferimenti registrati una volta scaduti, revocati o non più necessari; i riferimenti generati durante le operazioni di verifica o identificazione devono essere utilizzati per il tempo minimo strettamente necessario a completare il confronto e quindi cancellati in modo sicuro, e altrettanto vale per i campioni acquisiti in fase di creazione del riferimento. In ogni caso i dati biometrici vanno cancellati quando non siano più collegati alla finalità che ne ha motivato il trattamento.

Sul piano organizzativo, occorre garantire la disponibilità di metodi alternativi di controllo accessi, non soltanto quando il trattamento si fondi sul consenso — ipotesi in cui l’alternativa è connaturata all’opzionalità — ma anche quando esso sia autorizzato da una norma, per i casi di disabilità temporanea o permanente, guasto, interruzione, malfunzionamento o incidenti nell’interazione fra utente e sistema. Occorre inoltre assicurare la delimitazione del perimetro di captazione, affinché i sistemi non acquisiscano dati biometrici di persone non sottoposte al controllo accessi, se necessario mediante punti di controllo chiaramente segnalati e fisicamente separati.

L’informazione agli interessati merita un adempimento autonomo e rafforzato: il documento richiama il considerando 39 del Regolamento, secondo cui le persone fisiche dovrebbero essere sensibilizzate circa i rischi connessi al trattamento, e raccomanda che la raccolta avvenga in modo consapevole, eventualmente subordinata a un’azione positiva dell’interessato che presuppone informazione preventiva e sufficiente, con particolare riguardo ai soggetti in condizione di vulnerabilità. Nel contesto italiano tale informazione va coordinata con quella richiesta dall’art. 4, comma 3, della legge 300/1970 sulle modalità d’uso degli strumenti e di effettuazione dei controlli.

In presenza di decisioni automatizzate, si impone la verifica ai sensi dell’art. 22: occorre stabilire se il sistema produca, senza intervento umano, decisioni con effetti giuridici o analogamente significativi — il documento porta gli esempi del diniego di accesso per ragioni tecniche con conseguenze su retribuzione od occupazione, dell’impedimento all’accesso a un’attività o servizio previamente contrattato, della limitazione della libertà di movimento — e occorre ricordare che un intervento umano meramente formale non basta a escludere la qualificazione, dovendo esso essere svolto da persona dotata di autorità e competenza per valutare gli elementi rilevanti e modificare o annullare la decisione. Ove ricorrano le condizioni, vanno assicurati il diritto di ottenere l’intervento umano, quello di esprimere la propria opinione e quello di contestare la decisione.

Nei rapporti con la filiera, occorre la qualificazione dei ruoli fra committente, appaltatore e fornitore tecnologico sulla base delle funzioni effettivamente esercitate, e va presidiato l’obbligo del responsabile di segnalare senza indugio le istruzioni che ritenga contrarie al Regolamento; si suggerisce di inserire nei contratti di appalto clausole che escludano espressamente l’imposizione di soluzioni biometriche non supportate da valutazione d’impatto favorevole.

Da ultimo, si richiede la revisione periodica: le misure adottate vanno riesaminate e, se necessario, aggiornate a cadenza definita o al verificarsi di modifiche significative di ordine normativo, tecnico od organizzativo che incidano sul trattamento, sulle sue finalità, natura, ambito o contesto; e va mantenuto un monitoraggio delle violazioni effettivamente occorse nel contesto tecnologico, poiché esse possono determinare l’inadeguatezza sopravvenuta della tecnica prescelta.

Conclusioni

Il documento esaminato non innova il diritto e non pretende di farlo. Il suo valore sta nell’aver ricomposto in un percorso unitario elementi che la prassi tende a trattare separatamente: la definizione tecnica del riferimento biometrico, il triplice test di proporzionalità, il doppio binario degli artt. 6 e 9, il presidio dell’art. 22 e la gestione del rischio degli artt. 24, 25, 35 e 36. La scelta di collocare il test costituzionale di proporzionalità dentro la valutazione d’impatto, quale contenuto necessario dell’analisi richiesta dall’art. 35, par. 7, lett. b), appare metodologicamente solida e utilmente esportabile.

Restano aperte alcune questioni specifiche. La prima è se l’auspicio di un quadro regolatorio che disciplini espressamente la biometria in ambito lavorativo — formulato dal documento per l’ordinamento spagnolo — debba estendersi anche all’Italia, dove l’art. 2-septies del Codice offre uno strumento già predisposto per l’adozione di misure di garanzia ma dove non si ha evidenza, allo stato, di un aggiornamento organico del quadro prescrittivo del 2014 alla luce delle tecnologie oggi disponibili. La seconda è il coordinamento fra GDPR e Regolamento (UE) 2024/1689: la piena applicazione degli obblighi relativi ai sistemi ad alto rischio imporrà di chiarire se e come gli adempimenti documentali possano essere integrati con la valutazione d’impatto sulla protezione dei dati, evitando duplicazioni senza attenuare i presidi. La terza attiene alla graduazione della densità normativa richiesta all’art. 9, par. 2: si tratta di una costruzione che potrebbe risultare feconda, ma che richiederebbe una presa di posizione a livello europeo per non tradursi in divergenze applicative fra Stati membri. La quarta, infine, concerne la prova dell’inesistenza di alternative equivalenti, che rischia di restare un adempimento formale se non accompagnata da metriche condivise: un intervento di standardizzazione tecnica, anche per il tramite dell’Agenzia dell’Unione europea per la cibersicurezza, contribuirebbe a rendere il test verificabile.

Riferimenti normativi

• Regolamento (UE) 2016/679 (GDPR)
• Regolamento (UE) 2024/1689 (AI Act)
• Direttiva (UE) 2016/680
• Legge 20 maggio 1970, n. 300 (Statuto dei lavoratori)
• Decreto legislativo 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali)
• Decreto legislativo 14 settembre 2015, n. 151
• Decreto legislativo 10 agosto 2018, n. 101
• Real Decreto Legislativo 2/2015 (testo consolidato dello Statuto dei lavoratori, Spagna)
• Real Decreto Legislativo 5/2015 (testo consolidato dello Statuto di base dell’impiego pubblico, Spagna)
• Real Decreto-ley 8/2019 (Spagna)
• Ley Orgánica 3/2018 di protezione dei dati personali e garanzia dei diritti digitali (LOPDGDD, Spagna)
• Provvedimento del Garante per la protezione dei dati personali del 12 novembre 2014 in materia di biometria, con le allegate linee guida
• Linee guida 5/2020 del Comitato europeo per la protezione dei dati sul consenso
• Istruzione 1/2021 dell’Agencia Española de Protección de Datos
• Parere 2/2022 dell’Autoritat Catalana de Protecció de Dades
• Parere 1/2023 del Consejo de Transparencia y Protección de Datos de Andalucía
• Sentenza del Tribunal Constitucional (Spagna) 14/2003 del 28 gennaio

L'articolo Il trattamento dei dati biometrici nei sistemi di controllo degli accessi — lettura ragionata della guida dell’autorità spagnola e implicazioni per il contesto italiano proviene da 01magazine.

Il Comitato europeo per la protezione dei dati ha adottato, in data 7 luglio 2026, la versione definitiva delle Linee Guida 02/2025 sul trattamento dei dati personali mediante tecnologie a registro distribuito, all’esito della consultazione pubblica conclusasi il 9 giugno 2025. Il documento conferma nella sostanza l’impianto della prima versione dell’aprile 2025 : preferenza per architetture permissioned, possibile qualificazione dei nodi come titolari o contitolari ai sensi dell’articolo 26 del Regolamento (UE) 2016/679, centralità della valutazione d’impatto ex articolo 35 e affermazione per cui l’impossibilità tecnica non giustifica la non conformità. Le integrazioni riguardano i metadati on-chain quali dati personali, il riconoscimento condizionato delle Privacy Enhancing Technologies, il raccordo con gli obblighi di conservazione di MiCAR e AMLR e un glossario ampliato. Si sostiene in questa sede che il baricentro pratico della conformità si sposti sull’anonimizzazione progettata by design, letta alla luce delle Linee Guida 02/2026 e della giurisprudenza della Corte di giustizia sull’approccio relativo all’identificabilità.

Premessa

In premessa va detto che il rapporto fra tecnologie a registro distribuito e disciplina europea di protezione dei dati personali non nasce con le Linee Guida in commento. Trattasi di un tema che accompagna il dibattito applicativo del Regolamento (UE) 2016/679 sin dalla sua entrata in vigore, e che aveva già trovato riscontri parziali in contributi nazionali e in studi commissionati dalle istituzioni europee. La ragione della difficoltà è nota: il Regolamento presuppone che esista un soggetto identificabile in grado di determinare finalità e mezzi del trattamento, di cancellare i dati quando non più necessari, di rettificarli quando inesatti e di rispondere agli interessati; la blockchain, specie nella variante pubblica e permissionless, è concepita per rendere strutturalmente arduo ciascuno di questi passaggi, poiché la sua utilità funzionale risiede proprio nell’assenza di un centro di imputazione unico e nella tendenziale immodificabilità delle registrazioni.

Il perimetro dell’analisi che segue è duplice. Da un lato si esamina che cosa la versione 2.0 delle Linee Guida 02/2025 confermi rispetto alla prima stesura e che cosa invece integri, con particolare attenzione ai passaggi che producono effetti immediati sulla documentazione di conformità delle organizzazioni: registro dei trattamenti ex articolo 30 del Regolamento, informative ex articoli 13 e 14, valutazione d’impatto ex articolo 35, politiche di conservazione. Dall’altro si prova a ricostruire il punto di equilibrio che, secondo il parere di chi scrive, le Linee Guida stesse suggeriscono senza enunciarlo in modo del tutto esplicito: la conformità di un trattamento su registro distribuito non si gioca sulla capacità — di norma inesistente — di cancellare un dato già scritto in catena, bensì sulla capacità di progettare l’architettura in modo che, decorso il periodo di conservazione, il residuo on-chain non sia più riconducibile a una persona fisica con mezzi ragionevolmente utilizzabili.

Restano fuori dal perimetro le questioni di diritto dei contratti relative agli smart contract, i profili di qualificazione delle cripto-attività sotto il profilo finanziario e le implicazioni fiscali, che pure toccano gli stessi operatori ma seguono logiche autonome. L’analisi si mantiene sul piano della protezione dei dati personali e dei suoi raccordi con la disciplina antiriciclaggio e con il Regolamento (UE) 2023/1114, nella misura in cui le Linee Guida stesse li richiamano.

Il quadro normativo di riferimento

La disciplina europea generale

Il fondamento dell’intera costruzione resta l’articolo 4 del Regolamento (UE) 2016/679, che definisce il dato personale come “qualsiasi informazione riguardante una persona fisica identificata o identificabile” e precisa che “si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online”. In sostanza, la nozione è funzionale e non formale: non conta la forma alfanumerica dell’informazione, conta la sua attitudine a ricondurre a un individuo. In termini più pragmatici, un indirizzo di portafoglio composto da caratteri privi di significato linguistico è dato personale se, unito ad altre informazioni disponibili, consente di risalire al titolare del portafoglio; e non lo è se tale collegamento risulta irrealizzabile con mezzi ragionevolmente utilizzabili.

Su questa base poggiano i principi dell’articolo 5, e in particolare la minimizzazione — i dati devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità” — e la limitazione della conservazione, per cui i dati devono essere conservati “per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati”. A questi si aggiunge l’accountability del paragrafo 2, che impone al titolare non solo di rispettare i principi ma di essere in grado di dimostrarlo. Va detto che, nel contesto delle tecnologie distribuite, l’accountability assume un peso specifico superiore alla media: laddove la struttura tecnica non consente rimedi ex post, la documentazione delle scelte progettuali diventa l’unico presidio dimostrativo disponibile.

Rilevano altresì l’articolo 24 sulla responsabilità del titolare, l’articolo 25 sulla protezione dei dati fin dalla progettazione e per impostazione predefinita, l’articolo 26 sulla contitolarità, l’articolo 28 sui responsabili del trattamento, l’articolo 32 sulla sicurezza — che menziona espressamente la pseudonimizzazione e la cifratura fra le misure appropriate — e l’articolo 35 sulla valutazione d’impatto. Sul versante dei diritti, vengono in gioco l’articolo 16 sulla rettifica, l’articolo 17 sulla cancellazione, l’articolo 18 sulla limitazione e l’articolo 23 sulle restrizioni che il diritto dell’Unione o degli Stati membri può introdurre. Non da ultimo, il Capo V sui trasferimenti verso Paesi terzi assume rilievo pratico non banale quando i nodi che replicano il registro sono distribuiti su scala globale.

Le fonti di settore richiamate dalle Linee Guida

La versione 2.0 introduce un richiamo espresso agli obblighi di conservazione derivanti dal Regolamento (UE) 2023/1114 relativo ai mercati delle cripto-attività — con riferimento agli articoli 68, paragrafo 9, e 76, paragrafo 15 — e dal Regolamento (UE) 2024/1624 in materia di prevenzione dell’uso del sistema finanziario a fini di riciclaggio, con riferimento all’articolo 77. Entrambe le previsioni impongono, per quanto qui rileva, la conservazione dei dati identificativi e transazionali per un periodo di almeno cinque anni dalla cessazione del rapporto d’affari. La nota precisa altresì che il Regolamento (UE) 2024/1624 troverà applicazione dal 10 luglio 2027 e che, nel frattempo, resta operativo l’articolo 40 della direttiva (UE) 2015/849.

Il raccordo non è meramente compilativo. L’articolo 5, paragrafo 1, lettera e), del Regolamento (UE) 2016/679 impone di conservare i dati per il tempo necessario alle finalità, ma il tempo necessario può essere determinato altrove da una norma di legge; l’articolo 6, paragrafo 1, lettera c), fornisce a sua volta la base giuridica dell’obbligo legale. Ne discende che il prestatore di servizi per le cripto-attività non versa in una condizione di conflitto insanabile fra antiriciclaggio e protezione dei dati: la retention quinquennale è, per l’appunto, la traduzione normativa del periodo necessario, purché il titolare documenti la corrispondenza fra categorie di dati conservati e categorie di dati che la norma settoriale impone effettivamente di conservare, evitando l’estensione indiscriminata del termine a informazioni non contemplate.

Il contesto nazionale

Sul piano interno il decreto legislativo 196/2003, come modificato dal decreto legislativo 101/2018, integra la disciplina europea senza introdurre previsioni specifiche in materia di registri distribuiti. Rilevano piuttosto le disposizioni in tema di designazione del responsabile della protezione dei dati e i provvedimenti generali del Garante per la protezione dei dati personali in materia di misure di sicurezza e di valutazione d’impatto, fra cui l’elenco delle tipologie di trattamenti soggetti al requisito di una valutazione d’impatto ai sensi dell’articolo 35, paragrafo 4, del Regolamento. Non si ha evidenza, allo stato, di provvedimenti dell’Autorità italiana specificamente dedicati all’impiego di tecnologie a registro distribuito per il trattamento di dati personali; ciò non significa che il tema sia estraneo all’attenzione dell’Autorità, ma che il parametro di riferimento immediato per gli operatori nazionali resta, per l’appunto, il documento del Comitato europeo.

L’impianto confermato: le quattro posizioni non modificate

La preferenza per le architetture permissioned

Il primo profilo confermato è la preferenza per le blockchain permissioned, ossia quelle in cui un soggetto o un gruppo di soggetti determina chi possa leggere il registro, scrivervi o creare blocchi. La ragione addotta dal Comitato è di ordine giuridico prima che tecnico: un’architettura autorizzata consente un’allocazione più chiara dei ruoli e delle responsabilità, e dunque rende praticabile l’individuazione del titolare, la stipula di accordi di contitolarità ex articolo 26 e la designazione dei responsabili ex articolo 28. Le organizzazioni dovrebbero pertanto privilegiare tali architetture ed esplorare alternative di governance soltanto in presenza di ragioni giustificate e documentate, interrogandosi in quel caso sull’opportunità stessa del ricorso alla tecnologia.

Appare chiaro allo scrivente che quest’ultimo inciso costituisca il passaggio più impegnativo dell’intero documento. Il Comitato non si limita a suggerire una preferenza fra varianti tecnologiche, ma introduce un test di necessità della tecnologia in quanto tale: se la finalità perseguita può essere conseguita con un database tradizionale, l’impiego di un registro distribuito che moltiplica le copie del dato personale e ne rende ardua la cancellazione difficilmente supera il vaglio di minimizzazione e di protezione fin dalla progettazione. La critica mossa dagli operatori — secondo cui un simile approccio equivarrebbe a una presunzione di inidoneità della tecnologia — merita certamente grandissima attenzione; si ritiene tuttavia che la formulazione delle Linee Guida non giunga a tanto, poiché non esclude in radice le architetture aperte ma ne subordina l’impiego a una motivazione documentata. In questo senso, la differenza fra un divieto e un onere di motivazione rafforzato non è nominalistica ma assume valore altamente pragmatico.

I nodi come titolari o contitolari

Il secondo profilo riguarda la qualificazione soggettiva dei partecipanti alla rete. Le Linee Guida confermano che i nodi dotati di potere decisionale limitato potrebbero non qualificarsi come titolari, mentre i nodi delle reti pubbliche permissionless possono essere qualificati come titolari o contitolari qualora esercitino un’influenza determinante sulla definizione delle finalità e dei mezzi essenziali del trattamento. Resta fermo l’invito, anch’esso invariato, alla costituzione di consorzi o di altre entità giuridiche fra i nodi.

La nozione va introdotta con ordine. Il titolare, ai sensi dell’articolo 4, punto 7, del Regolamento, è chi determina finalità e mezzi del trattamento; la contitolarità dell’articolo 26 ricorre quando due o più soggetti determinano congiuntamente tali elementi. La giurisprudenza della Corte di giustizia ha da tempo chiarito che la contitolarità non presuppone né una simmetria di poteri né l’accesso ai dati da parte di ciascun contitolare. In termini più concreti, applicato a una rete distribuita, ciò significa che il soggetto il quale si limiti a eseguire un software di validazione secondo regole predeterminate da altri difficilmente determina qualcosa; mentre chi partecipa alla governance del protocollo, chi decide quali dati siano ammessi in catena, chi definisce le regole di consenso o chi gestisce l’applicazione che scrive in catena per finalità proprie, quello sì determina finalità e mezzi.

Si ritiene che la difficoltà pratica non stia nel principio, che è coerente con l’impianto del Regolamento, bensì nella sua applicazione a reti in cui i partecipanti sono migliaia, mutevoli e anonimi. L’invito alla costituzione di un consorzio è, sotto questo profilo, un suggerimento di ingegneria giuridica: costituire un’entità che assuma il ruolo di titolare — o di contitolare individuato negli accordi ex articolo 26 — è il modo più lineare per fornire agli interessati un punto di contatto ai sensi dell’articolo 26, paragrafo 1, e per rendere esigibili i diritti del Capo III.

Il quadro di valutazione preliminare e la DPIA

Il terzo profilo confermato è il quadro di valutazione preliminare richiesto al titolare prima di adottare una soluzione basata su registro distribuito: necessità del ricorso alla blockchain, scelta della tipologia di architettura, individuazione delle misure tecniche e organizzative, collocazione dei dati on-chain oppure off-chain. A tale valutazione si affiancano la centralità della valutazione d’impatto ex articolo 35, che nella generalità dei casi risulterà dovuta, e le sedici raccomandazioni dell’Allegato A, oggetto di soli affinamenti redazionali.

Va detto che la sequenza logica proposta dal Comitato ricalca, nella sostanza, la struttura dell’articolo 25 del Regolamento: la protezione dei dati fin dalla progettazione non è un adempimento documentale successivo, ma una serie di scelte architetturali compiute “al momento di determinare i mezzi del trattamento”. In termini più pragmatici, la decisione su che cosa scrivere in catena e che cosa tenere fuori è una decisione di protezione dei dati prima ancora che una decisione tecnica, e va assunta quando l’architettura è ancora modificabile a costi ragionevoli. Nell’esperienza applicativa dei sistemi di gestione, l’errore ricorrente consiste nel coinvolgere la funzione di protezione dei dati quando il progetto è già in fase di collaudo: nel caso dei registri distribuiti tale errore è, per ragioni strutturali, difficilmente rimediabile.

La cancellazione e il monito sull’impossibilità tecnica

Il quarto profilo è quello che ha suscitato le maggiori resistenze. Le Linee Guida confermano che, laddove la cancellazione dei dati non sia stata prevista fin dalla progettazione, il rispetto del principio di limitazione della conservazione potrebbe richiedere la cancellazione dell’intera blockchain — esito che risulta sostanzialmente incompatibile con la natura delle reti permissionless, le quali per struttura non possono essere costrette alla distruzione del registro distribuito. Resta parimenti immutato il monito per cui l’impossibilità tecnica non può essere invocata per giustificare la non conformità al Regolamento.

Secondo il parere di chi scrive, i due passaggi vanno letti insieme e non isolatamente. Il monito sull’impossibilità tecnica non afferma che il diritto possa imporre l’impossibile; afferma, più limitatamente, che la scelta di una tecnologia che rende impossibile l’adempimento non è opponibile all’interessato come causa di esonero. In sostanza, l’impossibilità rileva a monte, nella fase di scelta della tecnologia, e non a valle, come esimente. La conseguenza logica è severa ma, in definitiva, coerente: chi opta per un’architettura che non consente la cancellazione assume su di sé il rischio giuridico di tale scelta, e deve pertanto strutturare il trattamento in modo che la cancellazione non sia necessaria, perché il dato residuo non è più personale. Ed è qui che entra in gioco l’anonimizzazione.

L’anonimizzazione come baricentro effettivo della conformità

Ed in effetti, le Linee Guida indicano, accanto alla posizione di principio sulla cancellazione dell’intera catena, una via d’uscita più realistica. Quando la combinazione fra dati on-chain e dati off-chain è stata concepita by design in ottica di conformità, la limitazione della conservazione può essere soddisfatta impedendo la futura identificabilità dell’interessato mediante la cancellazione dei soli elementi off-chain — chiavi, salt, witness — di modo che la transazione residua sulla catena, ormai priva di valenza semantica, sopravviva al solo fine di preservare l’integrità del registro.

Il meccanismo merita di essere ricostruito in termini progressivamente più concreti. Il titolare non scrive in catena il dato personale, ma un suo derivato crittografico: un hash calcolato con l’aggiunta di un valore casuale segreto — il salt — oppure con una chiave, ovvero un impegno crittografico che vincola il valore senza rivelarlo. Il dato in chiaro, il salt e la chiave restano in un archivio esterno controllato dal titolare. Finché tale archivio esiste, il derivato on-chain è un dato personale pseudonimizzato, perché il collegamento è ripristinabile. Nel momento in cui l’archivio esterno viene distrutto, il derivato on-chain resta scritto ma non è più riconducibile ad alcuna persona: la cancellazione della chiave produce, sul piano funzionale, l’effetto che la cancellazione del dato produrrebbe in un database tradizionale.

Va detto che l’efficacia di tale meccanismo non è una questione di fede tecnologica ma di verifica puntuale. Se l’insieme dei valori possibili è ristretto — si pensi a un hash calcolato su un codice fiscale senza salt — l’attacco per forza bruta ricostruisce il dato in tempi banali, e nessuna cancellazione della chiave produce anonimato. Se invece il salt è di lunghezza adeguata, generato in modo imprevedibile e distrutto in modo irreversibile, l’inversione diventa computazionalmente non praticabile. La differenza fra le due ipotesi non è dogmatica, è misurabile; e appare chiaro allo scrivente che sia proprio questa misurazione, documentata, a costituire il cuore della DPIA di un progetto su registro distribuito.

Il punto va inoltre letto in combinato disposto con le Linee Guida 02/2026 sull’anonimizzazione, adottate nella medesima sessione plenaria del 7 luglio 2026 e sottoposte a consultazione pubblica fino al 30 ottobre 2026, che aggiornano il parere 05/2014 del Gruppo di lavoro articolo 29 alla luce della giurisprudenza della Corte di giustizia, con particolare riferimento alle pronunce nella causa C-582/14, Breyer, e nella causa C-413/23 P, EDPS contro Comitato di risoluzione unico. Recependo l’approccio relativo e contestuale affermato dalla Corte, il nuovo documento chiarisce che un dato può considerarsi anonimo quando la probabilità di identificazione dell’interessato, con i mezzi ragionevolmente utilizzabili dalle entità rilevanti, risulti insignificante, e articola il test nei tre criteri della non isolabilità del singolo record, della non collegabilità e della non inferibilità.

Il passaggio da un approccio assoluto a un approccio relativo all’identificabilità non è una concessione di comodo agli operatori. È il riconoscimento che il considerando 26 del Regolamento — il quale impone di considerare “tutti i mezzi […] di cui il titolare del trattamento o un terzo può ragionevolmente avvalersi” — richiede una valutazione contestuale e non un giudizio astratto sulla possibilità teorica di reidentificazione. In termini più pragmatici, la domanda corretta non è se qualcuno al mondo possa in linea di principio ricollegare quel dato a una persona, ma se le entità che hanno accesso al registro dispongano ragionevolmente dei mezzi per farlo. Applicato alla catena, il criterio consente di sostenere che una transazione residua, privata degli elementi off-chain che le conferivano significato, non consenta più di isolare, collegare o inferire alcunché di riferibile a una persona fisica.

Ne discende un’indicazione operativa nitida per chi progetta trattamenti su reti permissionless: strutturare sin dall’origine l’architettura on-chain e off-chain in modo che, decorso il periodo di conservazione, la cancellazione degli elementi off-chain renda i dati residui in catena effettivamente anonimi ai sensi del nuovo quadro, con conseguente fuoriuscita dall’ambito di applicazione del Regolamento e venir meno degli stessi obblighi di cancellazione. Si evita così lo scenario — problematico sul piano teorico e difficilmente praticabile su quello concreto — della distruzione dell’intero registro.

Si ritiene tuttavia doveroso segnalare due elementi di cautela. Il primo attiene al carattere non definitivo delle Linee Guida 02/2026, ancora in consultazione: fondare un’architettura su un documento suscettibile di modifiche espone a un rischio di disallineamento, che va gestito prevedendo margini di adattamento. Il secondo attiene alla dimensione temporale dell’anonimato: la valutazione sui mezzi ragionevolmente utilizzabili è ancorata allo stato della tecnica in un dato momento, mentre la catena conserva il dato per un tempo indefinito. In sostanza, ciò che oggi non è invertibile potrebbe non esserlo più fra vent’anni, e la questione dell’evoluzione della capacità computazionale — inclusa la prospettiva delle tecnologie quantistiche — non è puramente speculativa per registri destinati a durare. Le Linee Guida affrontano tale profilo solo per la cifratura e non per le sorti del residuo on chain; si suggerisce pertanto di includerlo espressamente fra le assunzioni della valutazione d’impatto, con un impegno a riesame periodico.

Le integrazioni della versione 2.0

I metadati on-chain quali dati personali

Il principio per cui i dati registrati in catena non si esauriscono nel payload delle transazioni era già presente nella prima versione. La versione definitiva lo rende operativo mediante una nota che elenca espressamente le categorie di metadati suscettibili di costituire dati personali quando consentono l’identificazione diretta o indiretta di una persona fisica: identificativi di transazione, indirizzi di portafoglio, registri degli eventi, ricevute, transizioni di stato, storage degli smart contract e relative tracce.

Il chiarimento va in direzione opposta rispetto alle richieste dell’industria di escludere tali identificativi dalla nozione di dato personale e impone una mappatura più granulare. In termini più concreti, la conseguenza per il DPO è che il registro dei trattamenti non può limitarsi a descrivere l’informazione applicativa che il progetto intendeva registrare — l’attestazione, il certificato, il titolo — ma deve dare conto anche degli elementi che l’infrastruttura genera automaticamente e che, presi insieme, consentono di ricostruire il comportamento di un individuo nel tempo. Un registro degli eventi che documenti ogni interazione di un determinato indirizzo con un contratto intelligente è, sotto il profilo funzionale, un profilo comportamentale; e la circostanza che sia generato dalla macchina anziché dall’applicazione non ne muta la natura.

Il riconoscimento condizionato delle tecnologie di rafforzamento della riservatezza

La versione finale integra il passaggio sulle misure di protezione dei dati in catena — cifratura, hashing con salt o con chiave segreta, impegni crittografici — con un richiamo espresso alle tecnologie emergenti di rafforzamento della riservatezza, quali le prove a conoscenza zero, ossia i protocolli che consentono di dimostrare la veridicità di un’affermazione senza rivelarne il contenuto, e ad altri protocolli crittografici avanzati, riconosciuti come tecniche utili a ridurre i rischi per gli interessati.

Il riconoscimento è però accompagnato da una duplice cautela, anch’essa nuova: tali tecnologie devono essere attentamente testate e validate, e non sono in ogni caso autosufficienti, dovendo essere sempre affiancate da ulteriori misure tecniche e organizzative idonee a garantire la conformità e l’esercizio dei diritti. Si ritiene che la cautela sia condivisibile e che rifletta un’esigenza ricorrente nella prassi di audit: l’adozione di una tecnologia crittograficamente robusta non equivale alla sua corretta implementazione, e la letteratura tecnica documenta con frequenza vulnerabilità derivanti non dal protocollo ma dalla sua configurazione, dalla generazione dei parametri o dalla gestione delle chiavi. In termini più pragmatici, il titolare che intenda avvalersi di una prova a conoscenza zero come misura ex articolo 32 deve essere in grado di esibire non la denominazione del protocollo, ma la documentazione della sua validazione.

Il raccordo con la disciplina delle cripto-attività e antiriciclaggio

Della nota sui periodi di conservazione si è già detto in sede di ricostruzione normativa. Va qui aggiunto il rilievo sistematico: per i prestatori di servizi per le cripto-attività autorizzati ai sensi del Regolamento (UE) 2023/1114, il richiamo offre un ancoraggio esplicito, interno alle Linee Guida, per la costruzione delle politiche di conservazione, confermando che i termini stabiliti dal diritto dell’Unione o degli Stati membri vanno tenuti in considerazione nella determinazione dei periodi di retention.

Il beneficio pratico è duplice. Da un lato consente al soggetto vigilato di motivare, in sede di valutazione d’impatto, un periodo di conservazione quinquennale senza doverlo giustificare caso per caso in termini di necessità. Dall’altro — e appare allo scrivente il profilo meno considerato — impone di distinguere accuratamente fra i dati che l’obbligo settoriale copre e quelli che non copre: la retention imposta dalla disciplina antiriciclaggio riguarda i dati identificativi e transazionali funzionali alle finalità di prevenzione, non l’intero patrimonio informativo raccolto dal prestatore nel corso del rapporto. L’estensione indiscriminata del termine quinquennale a ogni categoria di dato costituisce, secondo il parere di chi scrive, uno degli errori più diffusi nelle politiche di conservazione del settore, e si presta a rilievi in sede ispettiva.

Le restrizioni ai diritti degli interessati

Merita attenzione, sul piano sistematico, la riformulazione del passaggio dedicato alle restrizioni dei diritti. La versione finale chiarisce che gli esempi rilevanti — fra cui i casi antiriciclaggio e gli inventari di determinati beni — presuppongono che sia il diritto dell’Unione o dello Stato membro a imporre il ricorso a soluzioni basate su registro distribuito. Resta fermo che le restrizioni devono essere proporzionate, rigorosamente definite dalla legge e rispondenti al requisito di necessità in una società democratica.

La precisazione ha un effetto restrittivo significativo. L’articolo 23 del Regolamento consente al legislatore, e non al titolare, di limitare la portata dei diritti degli interessati; il titolare che abbia scelto autonomamente una tecnologia incompatibile con l’esercizio del diritto di cancellazione non può invocare l’articolo 23 per giustificare l’inadempimento, poiché la restrizione deve trovare fondamento in una misura legislativa e non in una scelta d’impresa. Si ritiene che il chiarimento fosse necessario, poiché nella prassi si è talora registrata la tendenza a leggere le previsioni settoriali sull’antiriciclaggio come un’autorizzazione generalizzata a comprimere i diritti, laddove esse operano entro confini definiti e per finalità determinate.

Il glossario ampliato

La versione 2.0 arricchisce l’Allegato B con nuove definizioni. Quella di consenso precisa che i meccanismi di accordo fra i nodi possono essere probabilistici o eventuali e che possono insorgere versioni concorrenti della catena. Quella di pubblicità è intesa come il grado di visibilità e accessibilità dei dati trattati in connessione con una blockchain, nozione centrale nell’impianto delle Linee Guida ma priva di definizione nella prima versione. Un’ampia definizione di smart contract ne cataloga le tipologie — contratti di emissione di token, di governance, multifirma o di deposito a garanzia, ponti, proxy, factory, contratti collegati a oracoli — e ne descrive le esecuzioni a cascata. Soprattutto, la definizione di indirizzo di portafoglio, account e chiave pubblica ne cristallizza la qualificazione come dato personale ai sensi dell’articolo 4 ogniqualvolta l’identificativo sia associabile a una persona fisica identificata o identificabile. Completano il quadro l’integrazione della definizione di registro — con la precisazione che nella maggior parte delle implementazioni i dati sono materializzati a livello di nodo mediante basi dati chiave-valore — e la sostituzione, nel corpo del testo, del riferimento alle “identità” delle parti con quello ai loro “identificativi”.

Quest’ultima sostituzione terminologica, apparentemente minima, ha un valore concettuale non trascurabile. Parlare di identificativi anziché di identità segnala che l’oggetto della disciplina non è l’anagrafica della persona, che nella catena non compare quasi mai, bensì il segno che la rappresenta e che, per l’appunto, la rende identificabile in senso tecnico-giuridico. Si tratta di una precisazione che allinea il lessico del documento a quello dell’articolo 4 del Regolamento e che rimuove un possibile equivoco difensivo, secondo cui l’assenza del nome in catena escluderebbe la presenza di dati personali.

Profili critici

Il primo profilo critico attiene alla tenuta della preferenza per le architetture autorizzate rispetto al principio di neutralità tecnologica, cui il considerando 15 del Regolamento fa riferimento affermando che la protezione delle persone fisiche dovrebbe essere neutrale sotto il profilo tecnologico. Si potrebbe obiettare che indicare una tipologia architetturale preferita costituisca una deviazione da tale principio. Si ritiene, con la doverosa cautela, che l’obiezione non colga nel segno: la neutralità tecnologica impone che la disciplina non favorisca né penalizzi una tecnologia in quanto tale, non che il regolatore si astenga dal rilevare che una determinata configurazione rende materialmente inesigibili obblighi che la norma impone. La preferenza espressa dal Comitato non è per una tecnologia, è per un assetto di responsabilità identificabile.

Il secondo profilo riguarda l’effettività della qualificazione dei nodi come contitolari nelle reti aperte. Anche ammettendo la correttezza dogmatica dell’inquadramento, resta il problema dell’enforcement: individuare, notificare e sanzionare migliaia di operatori di nodo dislocati in giurisdizioni diverse è impresa che, allo stato, non risulta essere stata tentata. Non si ha evidenza di procedimenti dell’Autorità italiana o di altre autorità di controllo europee che abbiano contestato a operatori di nodo la qualifica di titolare. Ne discende un rischio di scollamento fra l’affermazione di principio e la sua applicazione, che secondo il parere di chi scrive non giova alla certezza del diritto.

Il terzo profilo attiene alla posizione sulla cancellazione dell’intera catena. Anche accogliendo la lettura sopra proposta — secondo cui si tratta di una conseguenza logica dell’imputazione del rischio a chi sceglie la tecnologia, e non di una prescrizione operativa realistica — resta il fatto che l’enunciazione, isolata dal contesto, si presta a essere letta come una sanzione sproporzionata. Si sarebbe forse potuto valorizzare maggiormente, già nel corpo del testo e non solo nei passaggi successivi, il percorso dell’anonimizzazione by design, che costituisce la soluzione effettivamente praticabile. La critica è formulata in termini di tecnica redazionale e non di merito dell’orientamento.

Il quarto profilo concerne la dimensione dei trasferimenti internazionali. Le Linee Guida affrontano il tema, ma la struttura stessa di una rete globale rende la disciplina del Capo V di difficile applicazione: la replicazione del registro su nodi collocati in Paesi terzi costituisce un trasferimento, e non si vede quale strumento fra quelli dell’articolo 46 possa essere concluso con soggetti non identificati e non identificabili. Si ritiene che, allo stato, l’unica strada praticabile consista nel non collocare in catena alcun dato personale, riconducendo il trasferimento a un flusso di informazioni prive di riferibilità soggettiva — il che riporta, ancora una volta, al tema dell’anonimizzazione come precondizione architetturale.

Il quinto profilo riguarda l’articolazione fra le Linee Guida in commento e il complesso delle discipline digitali europee di recente introduzione. L’operatore che gestisce un’infrastruttura basata su registro distribuito e che rientri fra i soggetti essenziali o importanti ai sensi della direttiva (UE) 2022/2555, come recepita in Italia dal decreto legislativo 138/2024, si trova a dover conciliare obblighi di sicurezza e di notifica con vincoli di protezione dei dati; e ove l’infrastruttura incorpori componenti di “intelligenza artificiale”, si aggiungono gli obblighi del Regolamento (UE) 2024/1689. Non si ha evidenza che le Linee Guida affrontino tali sovrapposizioni, il che è comprensibile stante il loro oggetto, ma il coordinamento resta a carico del titolare.

Che cosa devono fare in concreto DPO e imprese

Il primo adempimento consiste in una verifica di necessità della tecnologia, da svolgere prima di qualunque altra valutazione e da formalizzare in un documento che dia conto delle finalità perseguite, delle alternative tecnologiche considerate e delle ragioni per cui un archivio centralizzato tradizionale non consentirebbe di conseguirle. Si suggerisce di redigere tale documento in forma sintetica ma argomentata, poiché costituisce il primo elemento che un’autorità di controllo esaminerebbe in caso di accertamento, e poiché la sua assenza rende difficilmente sostenibile il rispetto degli articoli 5, paragrafo 1, lettera c), e 25 del Regolamento. Ove l’esito della verifica sia favorevole all’impiego della tecnologia, il documento prosegue con la scelta dell’architettura, che secondo l’orientamento del Comitato dovrebbe orientarsi verso configurazioni autorizzate e che, ove si opti per una rete aperta, richiede una motivazione ulteriore e specifica sulle ragioni che rendono inadeguata l’alternativa permissioned.

Segue la mappatura granulare dei dati on-chain, che alla luce della nuova nota della versione 2.0 va estesa oltre il contenuto delle transazioni per abbracciare identificativi di transazione, indirizzi di portafoglio, registri degli eventi, ricevute, transizioni di stato e storage dei contratti intelligenti. Si ritiene che tale mappatura non possa essere condotta dalla sola funzione giuridica: richiede un confronto strutturato con chi ha progettato l’infrastruttura, poiché l’individuazione di ciò che il protocollo scrive automaticamente presuppone una conoscenza tecnica dell’implementazione specifica. L’esito confluisce nell’aggiornamento del registro dei trattamenti ai sensi dell’articolo 30, che deve descrivere le categorie di dati con un grado di dettaglio superiore a quello abituale, e nella revisione delle informative ex articoli 13 e 14, le quali dovrebbero rappresentare all’interessato, in termini comprensibili, che determinate informazioni saranno registrate in modo tendenzialmente irreversibile e replicate su una pluralità di nodi.

Sul piano della progettazione, l’adempimento centrale è la definizione della separazione fra dati on-chain e dati off-chain, che costituisce la vera misura di protezione fin dalla progettazione ai sensi dell’articolo 25. Si suggerisce di adottare come regola di lavoro il principio per cui nessun dato personale in chiaro venga mai scritto in catena, e che in catena figurino esclusivamente derivati crittografici il cui collegamento al dato in chiaro dipenda da elementi conservati fuori catena e sotto il controllo del titolare. A tale scelta si accompagna la gestione documentata del ciclo di vita delle chiavi e dei salt, che deve prevedere generazione con entropia adeguata, custodia in ambienti protetti, registrazione degli accessi e — profilo decisivo — una procedura di distruzione irreversibile allo scadere del periodo di conservazione, con evidenza dell’avvenuta esecuzione. Chi scrive ritiene che sia proprio la dimostrabilità della distruzione, e non la sua mera previsione procedurale, a fare la differenza in sede di verifica.

Ne discende, quale adempimento correlato, la valutazione documentata dell’effettività dell’anonimizzazione del residuo on-chain, da condurre secondo i tre criteri della non isolabilità, della non collegabilità e della non inferibilità, con espressa considerazione dei mezzi ragionevolmente utilizzabili dai soggetti che hanno accesso al registro. Si suggerisce di includere in tale valutazione un’assunzione esplicita sullo stato della tecnica e un impegno a riesame periodico dell’assunzione medesima, quantomeno con cadenza annuale e comunque al verificarsi di sviluppi rilevanti nella capacità computazionale disponibile, poiché la persistenza indefinita del dato in catena rende inadeguata una valutazione compiuta una tantum.

L’insieme di tali elementi confluisce nella valutazione d’impatto sulla protezione dei dati ex articolo 35, che nella generalità dei casi risulterà dovuta e che deve affrontare specificamente i profili indicati dalle Linee Guida, incluse le sedici raccomandazioni dell’Allegato A. Si ritiene opportuno che la valutazione dia conto anche del rischio di reidentificazione derivante dall’analisi delle catene di transazioni, tecnica ormai consolidata che consente di correlare indirizzi apparentemente distinti, e delle misure adottate per attenuarlo. Ove permanga un rischio elevato non mitigabile, si ricorda che l’articolo 36 impone la consultazione preventiva dell’autorità di controllo.

Sul versante soggettivo, occorre procedere alla qualificazione dei ruoli privacy di tutti i soggetti coinvolti — sviluppatori del protocollo, operatori di nodo, gestori di applicazioni, fornitori di servizi di custodia — e alla formalizzazione degli assetti individuati mediante accordi di contitolarità ex articolo 26, corredati della sintesi da mettere a disposizione degli interessati, oppure mediante atti di designazione a responsabile ex articolo 28. Ove l’architettura preveda una pluralità di partecipanti stabili, si suggerisce di valutare la costituzione di un’entità giuridica dedicata che assuma il ruolo di titolare o di punto di contatto unico, secondo l’indicazione del Comitato, poiché ciò risolve a monte il problema dell’individuazione del soggetto responsabile verso gli interessati e verso l’autorità.

Va poi predisposta una procedura per la gestione dei diritti degli interessati che affronti realisticamente i limiti dell’infrastruttura: il diritto di rettifica ex articolo 16 potrà essere soddisfatto mediante registrazione di una transazione correttiva successiva, non mediante modifica della registrazione originaria; il diritto di cancellazione ex articolo 17 potrà essere soddisfatto mediante distruzione degli elementi off-chain, con conseguente perdita di riferibilità del residuo; la limitazione ex articolo 18 richiederà interventi sul livello applicativo. Si ritiene essenziale che tali modalità siano descritte all’interessato già nell’informativa, per evitare che l’aspettativa disattesa si traduca in reclamo.

Per i soggetti vigilati, l’adempimento specifico consiste nella costruzione di una politica di conservazione differenziata, che tenga distinti i dati coperti dagli obblighi quinquennali derivanti dal Regolamento (UE) 2023/1114 e dal Regolamento (UE) 2024/1624 — nonché, sino al 10 luglio 2027, dall’articolo 40 della direttiva (UE) 2015/849 — dai dati per i quali il periodo di conservazione va determinato secondo il criterio ordinario della necessità. Si suggerisce di documentare la corrispondenza fra ciascuna categoria di dato e la fonte normativa che ne impone la conservazione, evitando estensioni indiscriminate.

Sul piano delle misure di sicurezza ex articolo 32, l’adempimento consiste nella validazione documentata delle tecnologie crittografiche adottate, con particolare riguardo alle prove a conoscenza zero e agli altri protocolli avanzati, di cui il Comitato riconosce l’utilità subordinandola a test e validazione e affiancandovi in ogni caso ulteriori misure tecniche e organizzative. Si suggerisce di acquisire dai fornitori evidenze di verifiche indipendenti dell’implementazione e non la sola dichiarazione di conformità.

Occorre infine considerare la verifica dei flussi transfrontalieri ai sensi del Capo V, che nelle reti a diffusione globale richiede quantomeno di documentare l’assenza di dati personali in catena come presupposto della non applicabilità della disciplina sui trasferimenti, e il coordinamento con le altre discipline applicabili, segnatamente gli obblighi di sicurezza e notifica derivanti dalla direttiva (UE) 2022/2555 e dal decreto legislativo 138/2024 per i soggetti che vi rientrano, nonché quelli del Regolamento (UE) 2024/1689 ove l’infrastruttura incorpori sistemi di “intelligenza artificiale”. Chiude il quadro la formazione mirata delle funzioni tecniche e di controllo, poiché nell’esperienza applicativa dei sistemi di gestione la principale causa di non conformità non risiede nell’assenza di procedure ma nella loro incomprensione da parte di chi dovrebbe attuarle.

Conclusioni

L’esito della consultazione non ha modificato l’asse regolatorio. Chi confidava in un ammorbidimento delle posizioni sulla cancellazione, sui ruoli dei nodi o sulla preferenza per le architetture autorizzate deve prendere atto che l’orientamento risulta ormai consolidato e costituisce il parametro interpretativo cui le autorità di controllo europee faranno riferimento. Con l’adozione della versione definitiva, le Linee Guida cessano di essere un documento in formazione e assumono la funzione di riferimento stabile per la valutazione dei trattamenti fondati su registro distribuito.

Restano tuttavia aperte questioni di non poco conto. La prima riguarda il grado di stabilità del quadro sull’anonimizzazione, che alla data indicata dalla fonte è ancora in consultazione: poiché la praticabilità stessa delle architetture aperte dipende dalla possibilità di qualificare come anonimo il residuo on-chain dopo la distruzione degli elementi esterni, l’esito di quella consultazione avrà sui progetti basati su blockchain un impatto probabilmente superiore a quello delle Linee Guida qui commentate. La seconda concerne l’enforcement nelle reti pubbliche: non si ha evidenza di procedimenti che abbiano contestato a operatori di nodo la qualifica di titolare, e finché tale evidenza non maturi resterà difficile misurare l’effettiva portata dell’impostazione del Comitato. La terza riguarda la dimensione temporale della valutazione di anonimato, che le Linee Guida non appaiono affrontare compiutamente e che, per registri destinati a permanere indefinitamente, solleva un problema di tenuta prospettica delle assunzioni tecniche.

Vi è poi una questione di sistema. L’affermazione per cui l’impossibilità tecnica non giustifica la non conformità è coerente con l’impianto del Regolamento, ma sposta interamente sul progettista l’onere di prevedere, al momento della scelta architetturale, ogni scenario futuro di esercizio dei diritti. Si ritiene che ciò renda la fase di progettazione il momento decisivo dell’intera vicenda di conformità, molto più della documentazione successiva; e che il ruolo del responsabile della protezione dei dati, in questi progetti, si giochi nella capacità di intervenire quando le scelte tecniche sono ancora reversibili. Nell’esperienza applicativa dei sistemi di gestione, tale tempestività è più spesso una questione organizzativa che giuridica.

Infine, si segnala che il raccordo esplicito con il Regolamento (UE) 2023/1114 e con il Regolamento (UE) 2024/1624 rappresenta, per quanto di stretto interesse in questa sede, il segnale di una tendenza più generale: le autorità di protezione dei dati mostrano crescente attenzione al coordinamento con le discipline settoriali, superando la tradizionale trattazione isolata del Regolamento generale. Trattasi di un’evoluzione che, secondo il parere di chi scrive, va accolta con favore, poiché la moltiplicazione delle fonti digitali europee rende il coordinamento interpretativo un bisogno concreto degli operatori prima ancora che un’esigenza dottrinale.

Riferimenti normativi

• Regolamento (UE) 2016/679 (GDPR)
• Regolamento (UE) 2023/1114 (MiCAR)
• Regolamento (UE) 2024/1624 (AMLR)
• Regolamento (UE) 2024/1689 (AI Act)
• Direttiva (UE) 2015/849
• Direttiva (UE) 2022/2555 (NIS2)
• decreto legislativo 196/2003
• decreto legislativo 101/2018
• decreto legislativo 138/2024
• Linee Guida EDPB 02/2025, versione 2.0
• Linee Guida EDPB 02/2026
• Parere WP29 05/2014 sulle tecniche di anonimizzazione
• Corte di giustizia dell’Unione europea, causa C-582/14, Breyer
• Corte di giustizia dell’Unione europea, causa C-413/23 P, EDPS contro Comitato di risoluzione unico

L'articolo Blockchain e GDPR dopo le Linee Guida EDPB 02/2025 versione 2.0: continuità interpretativa, metadati on-chain e il ruolo decisivo dell’anonimizzazione proviene da 01magazine.