Articoli

Un lunedì mattina i sistemi non rispondono. L’infrastruttura di virtualizzazione è inaccessibile, la password dell’utenza amministrativa è stata cambiata, un nodo risulta spento e sui dischi compare un file con la richiesta di riscatto. Da quel momento l’azienda ha due problemi: recuperare l’operatività e spiegare al Garante perché l’attacco è riuscito. Un data breach da ransomware non si valuta su quanto è stato abile l’attaccante, ma su quali misure l’azienda aveva e quali no.

Il provvedimento di luglio 2026: 120.000 euro

Il caso riguarda una società di consulenza ingegneristica, titolare del trattamento per i dati di dipendenti e organi sociali e responsabile per oltre 1.200 titolari committenti. L’attacco, attribuito a un gruppo noto di operatori ransomware, è stato rilevato il 9 ottobre 2024.

La dinamica ricostruita nell’istruttoria è istruttiva. L’ipotesi principale è che l’attaccante sia entrato attraverso la VPN utilizzando credenziali già in circolazione nel dark web; il vettore iniziale non è stato accertato con certezza perché i log erano stati cancellati. All’interno della rete è stato creato un account amministrativo, da cui si è proceduto per movimenti laterali verso i controller di dominio, fino al gestionale e ai sistemi di backup. Un dispositivo di backup è stato riportato alle impostazioni di fabbrica, con perdita totale dei dati; il secondo ha consentito un ripristino, ma con dati risalenti a due mesi prima. Nel dicembre 2024 parte dei dati esfiltrati è stata pubblicata nel dark web, incluse categorie particolari di dati.

Il Garante ha contestato la violazione degli articoli 5, paragrafo 1, lettera f) e 32, paragrafi 1 e 2 del Regolamento, irrogando una sanzione di 120.000 euro.

Le cinque carenze contestate

È l’elenco che vale la pena confrontare con la propria situazione, perché nessuna di queste misure è esotica.

• Protezione debole contro il credential stuffing. Il blocco scattava dopo dieci tentativi falliti ma si riattivava automaticamente dopo cinque minuti: una politica che l’Autorità ha definito molto blanda.
• Autenticazione a più fattori parziale. Era attiva soltanto su alcuni profili della suite di produttività, e non su VPN, firewall e dispositivi di rete. È il punto decisivo del provvedimento.
• Segmentazione di rete insufficiente. I controller di dominio avevano accesso a tutte le VLAN, e questo rendeva aggirabile la rete dedicata ai backup.
• Backup non protetti. Mancava una copia offline o immutabile, e l’ultima copia utilizzabile risaliva a due mesi prima dell’incidente.
• Nessun processo formalizzato di gestione delle vulnerabilità.

La conclusione del Garante è la parte che più dovrebbe interessare chi dirige un’azienda: la violazione non era né imprevedibile né inevitabile, e misure ormai di uso comune — come l’autenticazione a più fattori sulla VPN — avrebbero verosimilmente impedito l’attacco. È il modo in cui l’articolo 32 viene applicato nella pratica: non si chiede la sicurezza assoluta, si chiede lo stato dell’arte ragionevolmente esigibile.

Data breach da ransomware: perché i rimedi successivi non bastano

La società sanzionata aveva comunicato tempestivamente l’accaduto a dipendenti, pubblico e titolari committenti, non aveva precedenti e ha cooperato con l’Autorità. Dopo l’incidente ha investito oltre 200.000 euro in misure correttive e ha conseguito la certificazione ISO/IEC 27001.

Questi elementi hanno pesato come attenuanti sulla quantificazione della sanzione. Non hanno modificato l’accertamento della violazione. È una distinzione che vale la pena fissare: nel sistema del Regolamento ciò che si fa dopo riduce l’importo, ciò che si aveva prima decide se c’è stata violazione.

Il precedente più pesante del 2026

Lo stesso schema argomentativo si ritrova nella sanzione di 1.715.600 euro irrogata nel maggio 2026 a un operatore di telecomunicazioni. In quel caso non c’era alcun ransomware: alcuni soggetti si erano finti tecnici dell’assistenza e avevano convinto gli addetti di due punti vendita a consentire l’accesso ai sistemi, sottraendo dati anagrafici e di contatto di oltre 365.000 clienti e, per oltre 41.000 di essi, anche i metodi di pagamento. Le contestazioni hanno riguardato la gestione delle credenziali e dei certificati digitali e l’inefficacia delle verifiche di sicurezza, che non avevano rilevato le vulnerabilità.

Il filo comune è evidente: in entrambi i provvedimenti l’Autorità non si è fermata alla notizia dell’attacco, ma ha ricostruito l’assetto organizzativo che lo ha reso possibile. Il tema è approfondito anche nell’articolo sulle misure di sicurezza dell’articolo 32 e le sanzioni del 2026.

La notifica apre un fascicolo, non lo chiude

Molte aziende affrontano la notifica della violazione come l’adempimento conclusivo: si comunica entro settantadue ore e la pratica è archiviata. I provvedimenti dicono l’opposto. La notifica è il documento con cui il titolare mette per iscritto che cosa è accaduto, e da quel testo l’Autorità ricava le domande successive su misure, log, backup, fornitori e tempi di ripristino.

Significa che la notifica va redatta sapendo che sarà letta come atto istruttorio, e non come adempimento formale. Il punto è trattato nell’approfondimento su che cosa il Garante contesta dopo la notifica di data breach.

La verifica che conviene fare adesso

Senza entrare nel dettaglio tecnico, la domanda utile per chi guida un’impresa è se sia in grado di dare oggi una risposta documentata a quattro questioni: dove sono attivi i fattori di autenticazione aggiuntivi e dove non lo sono; quanto indietro va l’ultima copia di backup effettivamente ripristinabile e se esista una copia che un attaccante non possa raggiungere; per quanto tempo sono conservati i log e se qualcuno li guardi; chi risponde, e in quale ruolo, per i sistemi gestiti da fornitori esterni.

Se una di queste risposte non è disponibile, la carenza esiste già, indipendentemente dal fatto che un incidente sia avvenuto. È esattamente la situazione che i provvedimenti del 2026 hanno qualificato come violazione dell’articolo 32.

Lo studio, con sede a Napoli e attività in tutta Italia, assiste aziende ed enti nella gestione delle violazioni dei dati personali e nei procedimenti che ne derivano, in raccordo con i referenti tecnici: l’ambito è descritto nella pagina sui pacchetti di consulenza privacy. Chi ha subito un incidente o ha già effettuato la notifica può chiedere dalla pagina dei contatti un esame preliminare della documentazione e dei termini. Per i profili amministrativi collegati il riferimento è lo studio legale dell’avv. Elio Errichiello.

Avv. Elio Errichiello

Il 2 agosto 2026 è la data in cui il Regolamento europeo sull’intelligenza artificiale diventa applicabile in via generale. Per molte imprese italiane il tema è arrivato come un adempimento in più, e questo è il modo sbagliato di guardarlo: gli AI Act obblighi per le aziende non si sovrappongono al GDPR, ci si intrecciano, e la stessa pratica può essere contestata su due fronti con due apparati sanzionatori distinti.

Il calendario, in ordine

Il Regolamento (UE) 2024/1689 è entrato in vigore il 1° agosto 2024 e si applica per blocchi successivi.

• 2 febbraio 2025. Diventano applicabili i divieti sulle pratiche vietate (articolo 5) e l’obbligo di alfabetizzazione in materia di intelligenza artificiale (articolo 4).
• 2 agosto 2025. Entrano in applicazione le regole sui modelli per finalità generali, l’assetto di governance e il regime sanzionatorio.
• 2 agosto 2026. Applicazione generale del Regolamento, compresi gli obblighi di trasparenza dell’articolo 50.
• 2 agosto 2027. Scade il periodo di adeguamento per i modelli per finalità generali già immessi sul mercato prima del 2 agosto 2025.

In Italia la legge 132 del 2025 ha definito l’assetto istituzionale: all’Agenzia per la cybersicurezza nazionale sono attribuiti i compiti di vigilanza, con poteri ispettivi e sanzionatori; all’Agenzia per l’Italia digitale quelli di promozione e di accreditamento degli organismi di valutazione della conformità.

AI Act obblighi per le aziende: l’articolo 4 riguarda anche chi usa, non solo chi costruisce

È l’equivoco più diffuso. Molte imprese ritengono che il Regolamento riguardi i produttori di sistemi di intelligenza artificiale e non chi semplicemente li adotta. L’articolo 4 dice il contrario: l’obbligo di garantire un livello sufficiente di competenza alle persone che utilizzano i sistemi grava sia sui fornitori sia sui deployer, cioè su chi li impiega nella propria attività.

È un obbligo orizzontale: vale per le grandi aziende, per le piccole e medie imprese, per gli studi professionali e per gli enti pubblici. Lo standard richiesto è proporzionato alle dimensioni e al contesto dell’organizzazione, ma la proporzionalità attenua il contenuto, non l’esistenza del dovere. E il Regolamento non prevede alcun periodo di tolleranza: l’obbligo è operativo dal febbraio 2025.

Gli importi: fino al 7 per cento del fatturato

L’articolo 99 del Regolamento costruisce tre fasce, e si applica sempre l’importo più elevato tra la cifra fissa e la percentuale sul fatturato mondiale annuo.

• 35 milioni di euro o il 7 per cento per la violazione dei divieti sulle pratiche vietate dell’articolo 5.
• 15 milioni di euro o il 3 per cento per la violazione degli altri obblighi del Regolamento.
• 7,5 milioni di euro o l’1 per cento per la comunicazione di informazioni false o fuorvianti alle autorità.

Per piccole e medie imprese e start-up il riferimento è il minore tra l’importo fisso e la percentuale. Resta il fatto che il massimale del 7 per cento è superiore a quello del GDPR, che si ferma al 4 per cento.

Dove l’AI Act incrocia il GDPR

Qui si gioca la parte che interessa più direttamente chi si occupa di protezione dei dati. Quasi ogni sistema di intelligenza artificiale usato in azienda tratta dati personali: nei dati di addestramento, negli input forniti dagli utenti, negli output che producono decisioni.

Ne derivano questioni che il Regolamento sull’IA non risolve e che restano interamente nel perimetro del GDPR: su quale base giuridica si trattano i dati immessi nel sistema; che cosa dice l’informativa sull’uso di strumenti automatizzati; se la decisione prodotta rientri nell’ambito dell’articolo 22 sulle decisioni automatizzate; se il trattamento richieda una valutazione d’impatto, come ricostruito nell’articolo su quando la DPIA è obbligatoria; dove si trovino i server del fornitore, con tutto ciò che ne segue in tema di trasferimento dei dati extra UE.

Sul fronte europeo il Comitato europeo per la protezione dei dati ha posto in consultazione pubblica, fino al 30 ottobre 2026, linee guida sul web scraping nel contesto dell’intelligenza artificiale generativa, dedicate alla base giuridica e alle condizioni per il trattamento delle categorie particolari di dati. Chi utilizza strumenti generativi addestrati su dati raccolti dalla rete ha un interesse diretto a seguirne l’esito.

Il rischio che le aziende non vedono: lo shadow AI

Nella maggior parte delle organizzazioni l’intelligenza artificiale è già entrata senza che nessuno l’abbia deliberata. Un collaboratore incolla un documento in uno strumento generativo per farsi aiutare a riassumerlo; un altro usa un servizio di trascrizione per una riunione; un terzo chiede a un assistente di redigere una comunicazione a un cliente.

Ogni volta che quei testi contengono dati personali — nomi di clienti, dati di dipendenti, informazioni contrattuali — si è realizzato un trasferimento verso un fornitore che il titolare non ha valutato, non ha nominato come responsabile e non ha inserito nel registro dei trattamenti. È una violazione che non produce rumore e che emerge soltanto quando qualcuno va a cercarla: tipicamente in sede di verifica, come accade per il registro dei trattamenti, che è il primo documento richiesto.

Cosa serve sapere prima del 2 agosto

La verifica preliminare è meno complicata di quanto sembri, ma va fatta: quali strumenti di intelligenza artificiale sono effettivamente in uso in azienda, chi li usa e per quali attività, quali dati vi transitano, in quale ruolo si colloca l’impresa rispetto a ciascuno di essi e quale classificazione di rischio il Regolamento assegna a quegli impieghi. Da queste risposte dipende l’intero impianto documentale successivo; senza di esse, qualunque adempimento è costruito su un inventario che non esiste.

Lo studio, con sede a Napoli e attività su tutto il territorio nazionale, assiste aziende ed enti nell’adeguamento all’AI Act in raccordo con la disciplina sulla protezione dei dati e svolge la formazione richiesta dall’articolo 4: il perimetro è descritto nel servizio di consulenza privacy e nella pagina dedicata alla formazione. Per una valutazione preliminare degli strumenti in uso e degli obblighi applicabili si può scrivere dalla pagina dei contatti. Per i profili amministrativi e di contenzioso il riferimento è lo studio legale dell’avv. Elio Errichiello.

Avv. Elio Errichiello

Un cliente chiama per un problema di fatturazione. L’operatore risolve e, prima di chiudere, propone un’offerta. Sembra buon servizio: è invece il trattamento che ha portato il Garante a irrogare una delle sanzioni più pesanti del 2026 in materia di telefonate promozionali. Le sanzioni telemarketing Garante del 2026 non colpiscono soltanto il call center che chiama numeri comprati da terzi: colpiscono anche l’azienda strutturata che usa un contatto nato per altro scopo.

Il provvedimento: oltre 563.000 euro

Con provvedimento del 12 marzo 2026, reso noto nella newsletter del 26 marzo, il Garante ha sanzionato Enel Energia per 563.052 euro. L’istruttoria era nata da un reclamo e da due segnalazioni per chiamate indesiderate.

Secondo l’Autorità, nel corso di contatti gestionali con i clienti — anche effettuati tramite società terze — venivano proposte offerte commerciali senza una base giuridica valida, in alcuni casi anche a clienti che avevano espressamente negato il consenso al marketing. Il Garante ha contestato inoltre l’assenza di misure adeguate nelle procedure di ricontatto e ha raccomandato l’adozione del doppio consenso. Oltre alla sanzione, la società dovrà adottare misure idonee lungo tutta la filiera del trattamento.

Il punto giuridico: il contatto gestionale non è un contatto promozionale

Qui sta il cuore della questione, e vale per qualunque azienda che gestisca un servizio in abbonamento. Il numero di telefono raccolto per eseguire il contratto — assistenza, fatturazione, interventi tecnici — è trattato sulla base dell’articolo 6, paragrafo 1, lettera b) del Regolamento. Quella base giuridica copre l’esecuzione del contratto; non copre la promozione commerciale.

Per la promozione serve altro: il consenso, nelle forme richieste dall’articolo 130 del Codice in materia di protezione dei dati personali per le comunicazioni elettroniche. E dove il consenso è stato negato, nessuna costruzione contrattuale lo rimpiazza. Usare la telefonata gestionale come veicolo di vendita significa cambiare finalità senza cambiare base giuridica, ed è esattamente la contestazione formulata dal Garante.

Sanzioni telemarketing Garante: cosa viene contestato con più frequenza

Dai provvedimenti in materia emerge un elenco di criticità che si ripete con poche variazioni.

• Il cambio di finalità. Dati raccolti per una ragione e usati per un’altra, senza una base giuridica autonoma.
• Il consenso negato e non rispettato. Una volta che l’interessato ha detto no, la mancata propagazione di quel no ai sistemi e ai fornitori diventa una violazione.
• Le procedure di ricontatto. È il tema delle liste di richiamo: senza regole su quando e perché un contatto torna in circolo, il controllo si perde.
• La filiera. La responsabilità non si ferma al confine dell’azienda. Le società terze che effettuano i contatti agiscono per conto del titolare, e il titolare risponde di come lo fanno.
• Il Registro pubblico delle opposizioni. La consultazione è un obbligo, e l’omissione è tra le contestazioni classiche nelle vicende di telemarketing.

Il controllo sui fornitori è la contestazione che sorprende

Nel maggio 2026 il Garante è intervenuto su un caso di recupero crediti con due sanzioni distinte: 50.000 euro al titolare e 30.000 euro al responsabile. Al titolare è stato contestato di non avere vigilato in modo adeguato sul fornitore e sulle istruzioni impartite; al responsabile di non avere fornito al titolare un quadro aggiornato dei dati raccolti.

Il principio affermato è molto concreto: il titolare deve svolgere controlli periodici, documentati e verificabili sui fornitori. Non è sufficiente che il contratto preveda il rispetto della normativa; occorre poter dimostrare di avere verificato che venga rispettato. Lo stesso schema è ricostruito nell’articolo dedicato al recupero crediti e alle sanzioni a titolare e responsabile.

Dove nasce il reclamo

Nelle vicende di telefonate promozionali il procedimento parte quasi sempre dal basso: una persona infastidita che scrive al Garante. Non serve un danno quantificabile, non serve un avvocato, non serve nemmeno che la chiamata abbia prodotto un contratto. Basta la segnalazione, e il fascicolo si apre.

Questo spiega perché il rischio in questa materia sia difficile da contenere con la semplice prudenza commerciale: il numero di contatti è alto, la probabilità che qualcuno reagisca è proporzionale, e l’istruttoria che segue non si limita alla singola chiamata ma investe l’intero sistema di gestione dei consensi. Il meccanismo è lo stesso che opera nel canale e-mail, descritto nell’articolo su email marketing, consenso e soft spam.

Gli importi e i criteri

L’articolo 83 del Regolamento consente di arrivare fino a 20 milioni di euro o al 4 per cento del fatturato mondiale annuo, applicando l’importo più elevato, per le violazioni dei principi e delle condizioni del consenso. Le somme effettivamente irrogate dipendono da gravità e durata della violazione, numero di interessati coinvolti, carattere doloso o colposo, misure correttive adottate, grado di cooperazione e precedenti.

È utile osservare che nei provvedimenti recenti le misure adottate dopo la contestazione hanno inciso sull’importo ma non hanno impedito l’accertamento: la correzione tardiva attenua, non elimina. Un quadro degli ordini di grandezza si trova nell’articolo su quanto costa davvero una violazione del GDPR.

La domanda da porsi oggi

Non è se l’azienda abbia un modulo di consenso. È se sia in grado di dimostrare, per un singolo numero di telefono chiamato il mese scorso, su quale base giuridica quel contatto è avvenuto, da dove veniva il numero, chi ha effettuato la chiamata e che fine ha fatto l’eventuale rifiuto espresso in passato. Se la ricostruzione non è possibile, il problema esiste già, anche se nessuno ha ancora scritto al Garante.

Lo studio, con sede a Napoli e attività in tutta Italia, assiste aziende e call center nei procedimenti davanti al Garante e nella revisione dei trattamenti promozionali: l’ambito è descritto nella pagina sui pacchetti di consulenza privacy. Chi ha ricevuto un reclamo o una richiesta di informazioni può chiedere dalla pagina dei contatti un esame preliminare della documentazione e dei termini. Per i profili amministrativi e di contenzioso il riferimento è lo studio legale dell’avv. Elio Errichiello.

Avv. Elio Errichiello

In una struttura sanitaria il dato più delicato non è quello che esce: è quello che viene guardato da chi non doveva guardarlo. Un provvedimento del Garante del luglio 2026 lo mostra con precisione, e spiega perché il DPO strutture sanitarie Napoli non sia una casella da riempire nel protocollo ma la figura che deve accorgersi di un problema prima dell’Autorità. La vicenda riguarda un’azienda sanitaria del Nord-Est, ma il meccanismo contestato è identico in ogni poliambulatorio, casa di cura o azienda ospedaliera d’Italia.

Il caso: quattro dossier aperti con una forzatura

Nel dossier sanitario aziendale di un’azienda sanitaria due medici e due infermieri di un reparto di pediatria avevano effettuato accessi ripetuti ai dossier di quattro pazienti adulti, non in cura presso di loro. Per farlo avevano utilizzato la funzione di cosiddetta forzatura, accompagnata da un’autodichiarazione di presa in carico che, secondo la stessa azienda, non corrispondeva al vero.

Il Garante ha dichiarato illecito il trattamento richiamando gli articoli 5, paragrafo 1, lettere a) e f), 9, 25 e 32 del Regolamento, oltre alle proprie Linee guida sul dossier sanitario del 2015. Alla struttura è stato chiesto di comunicare entro trenta giorni la data di adozione di una procedura di verifica degli accessi.

Le due contestazioni che pesano

Il provvedimento non si limita a sanzionare il comportamento dei quattro operatori. Contesta all’azienda, in quanto titolare, due carenze organizzative.

• L’assenza di alert automatici. Un sistema che consente la forzatura senza generare alcuna segnalazione è un sistema che lascia l’accesso anomalo invisibile.
• L’assenza di controlli a campione. Dove nessuno guarda i log, la tracciatura esiste sulla carta e non nella realtà. È l’equivalente di una telecamera che registra su un nastro che nessuno rivede.

Dietro entrambe c’è l’articolo 25: la protezione dei dati fin dalla progettazione e per impostazione predefinita non è un principio programmatico, è un criterio di configurazione dei sistemi. Un dossier che permette a chiunque di autodichiararsi la presa in carico, senza verifica e senza allarme, non è configurato in modo conforme.

DPO strutture sanitarie Napoli: la responsabilità non si delega al fornitore

Il passaggio più interessante, e quello che riguarda direttamente ogni struttura campana, è un altro. Lo strumento di consultazione utilizzato era fornito dalla Regione e gestito da una società informatica regionale. L’azienda sanitaria, cioè, non aveva scelto né progettato la piattaforma.

Il Garante ha comunque affermato che il titolare doveva esercitare le proprie prerogative, anche rispetto alle scelte regionali, e ha chiesto a Regione e società fornitrice di comunicare, a loro volta, le misure adottate sulla configurazione delle autodichiarazioni. Tradotto: usare una piattaforma imposta da altri non trasferisce ad altri la posizione di titolare. Se la configurazione è inadeguata, il titolare deve pretendere che venga corretta, e deve poterlo documentare.

È esattamente il punto in cui la nomina del responsabile del trattamento ex articolo 28 mostra la propria consistenza o la propria inconsistenza, come già osservato nell’approfondimento sulla nomina del responsabile del trattamento.

Perché nelle strutture sanitarie il DPO è obbligatorio

L’articolo 37 del Regolamento impone la designazione del responsabile della protezione dei dati, tra l’altro, quando le attività principali del titolare consistono nel trattamento su larga scala di categorie particolari di dati. I dati relativi alla salute sono categoria particolare ai sensi dell’articolo 9: per un poliambulatorio, una casa di cura, un laboratorio di analisi o un’azienda sanitaria la condizione è integrata per definizione.

Alla designazione obbligatoria si somma, per gli enti pubblici, l’obbligo che deriva dalla loro stessa natura. In entrambi i casi la nomina va comunicata al Garante, e la designazione puramente formale — un nome su una delibera, senza risorse, senza accesso ai processi, senza coinvolgimento nelle scelte tecnologiche — è tra le situazioni che l’Autorità contesta con maggiore frequenza. Il tema è trattato nell’articolo sul DPO esterno a Napoli per enti e aziende.

Cosa emerge in verifica

Nelle strutture sanitarie le contestazioni seguono percorsi ricorrenti: accessi al dossier non giustificati da ragioni di cura, tracciature non conservate o non consultate, profili abilitati che restano attivi dopo la cessazione del rapporto, informative che non distinguono le finalità di cura da quelle amministrative o di ricerca, fornitori informatici inquadrati senza istruzioni verificabili.

Nessuna di queste situazioni emerge da una lettura del cartaceo: emergono dai sistemi e dai log. Ed è qui che si misura la differenza tra una struttura che ha un DPO operativo e una che ne ha soltanto il nome. Sullo stesso versante si colloca l’approfondimento dedicato agli accessi al dossier sanitario negli studi medici.

Il punto per chi dirige una struttura

La domanda da porsi non è se la struttura abbia nominato un DPO. È se quel DPO, oggi, sia in condizione di sapere chi ha aperto quali cartelle nell’ultimo mese e con quale motivazione. Se la risposta è negativa, la carenza non è documentale: è organizzativa, ed è proprio quella che il Garante ha contestato nel provvedimento di luglio.

Lo studio ha sede a Napoli, assiste strutture sanitarie pubbliche e private in tutta Italia e ricopre incarichi di DPO per enti e poliambulatori: le modalità di incarico sono descritte nella pagina sul DPO e l’obbligo di nomina per aziende e pubblica amministrazione e nel servizio di consulenza privacy. Una struttura che voglia sapere quanto regge il proprio assetto può chiedere dalla pagina dei contatti un esame preliminare della documentazione e delle configurazioni. Per il contenzioso amministrativo davanti al giudice il riferimento è lo studio legale dell’avv. Elio Errichiello.

Avv. Elio Errichiello

Il procedimento del Garante non comincia con un’ispezione a sorpresa. Comincia, quasi sempre, con una busta: una richiesta di informazioni che fissa un termine e chiede conto di un trattamento specifico. Chi a quel punto cerca un avvocato privacy Napoli ha davanti un bivio stretto, perché quella prima risposta orienta tutto il seguito, e le sanzioni che l’Autorità ha adottato nel 2026 mostrano che l’ordine di grandezza non è simbolico.

Da dove nasce un procedimento

Le porte di ingresso sono poche e tutte abbastanza prevedibili.

• Il reclamo di un interessato. È la via più comune: un cliente, un dipendente, un ex dipendente, un paziente che ritiene di avere subito un trattamento illecito. È da un reclamo e da due segnalazioni per telefonate indesiderate che ha preso origine, ad esempio, il procedimento chiuso dal Garante nel marzo 2026 con una sanzione superiore a 563.000 euro a carico di un grande operatore energetico.
• La notifica di data breach. Comunicare una violazione è un obbligo, ma è anche una dichiarazione che apre un fascicolo: l’Autorità esamina la violazione e, con essa, l’assetto di sicurezza che l’ha resa possibile.
• L’attività d’ufficio. Istruttorie di settore, segnalazioni di altre amministrazioni, accertamenti a campione.

In tutti i casi il perimetro della verifica si allarga rapidamente: una contestazione su un singolo trattamento porta l’Autorità a chiedere il registro, le informative, i contratti con i fornitori, le misure di sicurezza. Non per cattiveria istruttoria, ma perché l’accountability funziona così: è il titolare che deve dimostrare la conformità.

Avvocato privacy Napoli: cosa viene contestato davvero

I provvedimenti del 2026 disegnano un quadro ricorrente, e nessuna delle contestazioni più pesanti riguarda la mancanza di un documento.

La sicurezza dei sistemi. È il capitolo più costoso. Nel maggio 2026 il Garante ha sanzionato un operatore di telecomunicazioni per 1.715.600 euro dopo due accessi abusivi: alcuni soggetti si erano finti tecnici dell’assistenza e avevano convinto gli operatori di due punti vendita a consentire l’accesso ai sistemi, sottraendo i dati anagrafici e di contatto di oltre 365.000 clienti e, per oltre 41.000 di questi, anche i metodi di pagamento. Le contestazioni sono andate alla gestione delle credenziali e dei certificati digitali e all’inefficacia delle verifiche di sicurezza.

La base giuridica dei contatti commerciali. Nel provvedimento sul telemarketing citato sopra l’Autorità ha rilevato che, durante contatti nati come gestionali, venivano formulate proposte commerciali senza una base giuridica valida, in alcuni casi anche a clienti che avevano negato il consenso al marketing. La responsabilità è stata affermata su tutta la filiera, società terze comprese.

Il controllo sui fornitori. Nel maggio 2026 il Garante ha sanzionato con 50.000 euro il titolare e con 30.000 euro il responsabile in una vicenda di recupero crediti: al titolare è stato contestato di non avere vigilato adeguatamente sul fornitore e sulle istruzioni impartite. È la contestazione che le aziende sottovalutano di più, perché si tende a considerare la nomina ex articolo 28 un adempimento che si esaurisce con la firma. Il tema è ripreso nell’approfondimento sul recupero crediti e le sanzioni a titolare e responsabile.

Quanto si rischia

L’articolo 83 del Regolamento costruisce due fasce: fino a 10 milioni di euro o al 2 per cento del fatturato mondiale annuo per un primo gruppo di violazioni, fino a 20 milioni o al 4 per cento per le violazioni dei principi, delle condizioni del consenso e dei diritti degli interessati. Si applica l’importo più elevato tra i due.

Nella determinazione concreta pesano gravità e durata, carattere doloso o colposo, misure adottate per attenuare il danno, grado di cooperazione con l’Autorità, precedenti. Nei provvedimenti recenti la collaborazione e le misure correttive hanno effettivamente ridotto l’importo: non hanno mai evitato l’accertamento della violazione. È una distinzione che conviene tenere a mente, perché il rimedio tardivo attenua, non sana. Il quadro complessivo degli importi è ricostruito nell’articolo su quanto costa una violazione del GDPR.

L’errore che si fa nelle prime settimane

Rispondere alla richiesta di informazioni da soli, in fretta e in modo esteso. È comprensibile: si vuole dimostrare trasparenza. Il risultato, però, è spesso un’autodenuncia involontaria su trattamenti che non erano oggetto della contestazione, oppure una ricostruzione dei fatti che poi non si può più correggere.

La risposta a un’istruttoria è un atto difensivo, con un termine, un perimetro e conseguenze. Richiede di sapere cosa l’Autorità sta effettivamente chiedendo, cosa va documentato e cosa non va aggiunto. Ed è proprio il tipo di valutazione che non si può ricavare da un modello scaricato.

Prima o dopo

La differenza tra le aziende che escono bene da un’istruttoria e quelle che escono male non sta nella qualità della difesa. Sta in cosa esisteva prima: se il registro dei trattamenti era aggiornato, se le informative corrispondevano ai trattamenti reali, se i contratti con i fornitori contenevano istruzioni verificabili, se qualcuno aveva controllato che fossero rispettate. Chi arriva davanti al Garante con questo materiale discute di un episodio; chi arriva senza discute di un’organizzazione.

Lo studio, con sede a Napoli e attività su tutto il territorio nazionale, assiste aziende, studi professionali ed enti pubblici nei procedimenti davanti al Garante e nell’adeguamento che li precede: il perimetro è descritto nella pagina sui pacchetti di consulenza privacy e nell’approfondimento sulla consulenza privacy a Napoli per aziende e studi. Chi ha ricevuto una richiesta di informazioni, una contestazione o un reclamo può chiedere un esame preliminare della documentazione e dei termini dalla pagina dei contatti. Per il contenzioso amministrativo collegato il riferimento è lo studio legale dell’avv. Elio Errichiello.

Avv. Elio Errichiello