Il Garante per la Protezione dei Dati Personali ha pubblicato sul proprio sito istituzionale una relazione sull’attività svolta nel 2023.
La relazione è piuttosto corposa e molto articolata. Si indicano, quindi, le informazioni più interessanti relative all’attività svolta.

I numeri delle attività effettuate.

Per rendersi conto della attività di intervento svolta dal Garante è utile, più di molti discorsi, esaminare i numeri relativi agli interventi.

Nel 2023 sono stati adottati 634 provvedimenti collegiali.

L’Autorità ha fornito riscontro a 9.281 reclami e segnalazioni riguardanti, tra l’altro, il marketing e le reti telematiche, i dati on line delle pubbliche amministrazioni, la sanità, la giustizia, il cyberbullismo e il revenge porn, la sicurezza informatica, il settore bancario e finanziario, il lavoro.

I pareri resi dal Collegio su atti normativi e amministrativi sono stati 59 ed hanno riguardato la digitalizzazione della P.a., la sanità, il fisco, la giustizia; l’istruzione, funzioni di interesse pubblico.

6 sono stati i pareri su norme di rango primario: in particolare, riguardo ad accertamento fiscale, digitalizzazione della Pa, giustizia e open data.

Le comunicazioni di notizie di reato all’autorità giudiziaria sono state 7 e hanno riguardato violazioni in materia di controllo a distanza dei lavoratori, falsità nelle dichiarazioni e notificazioni al Garante, accesso abusivo a un sistema informatico.

I provvedimenti correttivi e sanzionatori sono stati 394.

Le sanzioni riscosse sono state di circa 8 milioni.

2037 i data breach notificati all’Autorità.

Le ispezioni effettuate nel 2023 sono state 144, in linea rispetto a quelle dell’anno precedente.

Per quanto riguarda l’attività di informazione e comunicazione istituzionale, nel 2023 l’Autorità ha diffuso 62 comunicati stampa e 17 Newsletter, realizzato 4 campagne informative e prodotto 45 video informativi su temi di maggiore interesse per il pubblico, di cui 9 diffusi sui canali Rai Radio e Tv, sul web e sui social media.

I principali interventi del Garante

Tra le attività svolte dal Garante nel 2023, vanno ricordati, in particolare, l’attenzione posta all’uso dei dati biometrici e al diffondersi di sistemi di riconoscimento facciale. In particolare, l’Autorità ha inviato un avvertimento a Worldcoin in relazione al progetto di scansione dell’iride in cambio di criptovalute, senza adeguate garanzie e la necessaria consapevolezza da parte degli utenti.

Sul fronte della cybersecurity, Garante Privacy e Agenzia per la Cybersicurezza Nazionale (ACN) hanno messo a punto le Linee guida per la conservazione delle password.

Significativo a questo proposito il numero dei data breach notificati nel 2023 al Garante da parte di soggetti pubblici e privati: 2.037. Nel settore pubblico (37% dei casi), le violazioni hanno riguardato soprattutto Comuni, istituti scolastici e strutture sanitarie; nel settore privato (63% dei casi) sono stati coinvolte sia PMI e professionisti sia grandi società del settore delle telecomunicazioni, energetico, bancario, dei servizi e delle telecomunicazioni.

Nei casi più gravi sono stati adottati provvedimenti di tipo sanzionatorio.

Numerosi, come in passato, i provvedimenti assunti nell’ambito del rapporto di lavoro, soprattutto con riguardo all’utilizzo della posta elettronica sul luogo di lavoro e all’impiego di sistemi di videosorveglianza. Da sottolineare due documenti di indirizzo elaborati nel corso dell’anno: uno dedicato alla gestione della posta elettronica nel contesto lavorativo e al trattamento dei metadati, l’altro elaborato con ANAC e dedicato alla gestione delle procedure connesse al whistleblowing.

Con riferimento alle violazioni delle P.A., connesse alla pubblicazione di dati, si segnala quanto segue:

- un soggetto citato in una delibera di giunta comunale pubblicata online che risultava identificabile dalle relative iniziali e dalle informazioni di contesto, anche considerando le indicazioni relative al periodo di lavoro svolto, alla qualifica professionale e alle vicende processuali riportate (provv. 2 marzo 2023, n. 65, doc. web n. 9874480, cfr. anche provv. 18 luglio 2023, n. 311, doc. web n. 9920562, dove il Garante ha dichiarato l’illegittimità della diffusione delle informazioni, riguardanti un reclamante, idonee a identificarlo indirettamente anche se erano stati oscurati il nome e il cognome);

- una persona che aveva effettuato una segnalazione a un comune per un abuso edilizio, i cui dati personali erano contenuti nell’ordinanza dell’ente relativa a un ordine di demolizione che riportava in chiaro anche i dati personali del soggetto destinatario del provvedimento amministrativo (fra cui dati anagrafici, luogo e data di nascita, indirizzo di residenza) e dei professionisti incaricati con indicazione, fra l’altro, dell’effettuata segnalazione disciplinare al Collegio dei geometri (provv. 27 aprile 2023, n.166, doc. web n. 9896450);

- diversi soggetti tramite la pubblicazione online per errore dei relativi documenti di riconoscimento e tessere sanitarie (provv. 17 maggio 2023, n. 193, doc. web n. 9907862).