NEWSLETTER N. 552 del 30 settembre 2026
1 Ottobre 2026NEWSLETTER N. 553 dell’8 ottobre 2026
- Graduatorie online, sanzionata la Fondazione Rome Technopole
- Sanzionato il Comune di Arvier, no a telecamere che riprendono aree private
- Email marketing, in vigore le Linee guida sui tracking pixel
- Assegno di inclusione, sì all’indagine a campione
Graduatorie online, sanzionata la Fondazione Rome Technopole
Pubblicati dati personali di 480 studenti vincitori di un bando per borse di studio
Con provvedimento n. 634 del 23 settembre 2026, il Garante Privacy ha inflitto una sanzione di 8mila euro alla Fondazione Rome Technopole per aver pubblicato online informazioni personali relative a 480 vincitori di un bando per l’assegnazione di borse di studio destinate a laureati di primo livello.
L’Autorità è intervenuta a seguito del reclamo presentato da uno degli studenti coinvolti, che aveva segnalato la presenza, nel file Excel delle graduatorie pubblicato sul sito della Fondazione, di numerosi dati personali. Nel documento erano infatti presenti informazioni quali indirizzo di residenza, codice fiscale, data di nascita, email, estremi del documento d’identità, carriera universitaria e coordinate bancarie, compreso l’Iban.
A seguito della richiesta di informazioni dell’Autorità, la Fondazione ha specificato di aver rimosso il file circa dodici ore dopo la pubblicazione, avvenuta per un’errata interpretazione della disciplina in materia di trasparenza amministrativa.
Al riguardo, il Garante ha chiarito che gli obblighi di trasparenza non giustificano la diffusione di tali informazioni accertando la violazione dei principi di liceità e minimizzazione previsti dalla normativa sulla protezione dei dati personali e l’assenza di un’idonea base giuridica per la pubblicazione.
Nel determinare l’importo della sanzione, l’Autorità ha tenuto conto della breve durata della pubblicazione, dell’assenza di precedenti violazioni e della collaborazione della Fondazione.
Sanzionato il Comune di Arvier, no a telecamere che riprendono aree private
Una sanzione di 4mila euro è stata comminata dal Garante Privacy al Comune di Arvier, piccola cittadina di 800 abitanti della Valle d’Aosta, per numerose irregolarità riscontrate nell’utilizzo del sistema di videosorveglianza comunale (provvedimento n. 636 del 23.09.2026).
Si conclude così un procedimento avviato a seguito del reclamo di una cittadina che lamentava la presenza di una telecamera il cui angolo di ripresa inquadrava anche la propria abitazione.
Dagli accertamenti dell’Autorità è emerso che il sistema, attivo dal 2011-2012 e successivamente ampliato, era utilizzato per più finalità (controllo della viabilità e dei parcheggi, lettura delle targhe, tutela ambientale, protezione civile) senza che il Comune avesse individuato una chiara e adeguata base giuridica. Una delle telecamere, inoltre, riprendeva la facciata dell’abitazione privata della reclamante, comprese finestre, balconi e portefinestre.
Una ripresa – sottolinea il Garante – non necessaria per il perseguimento delle finalità dichiarate dal Comune, con un’ingerenza sproporzionata nella sfera privata della cittadina. Insufficiente anche la soluzione tecnica di “privacy masking”, adottata dall’Ente dopo l’avvio dell’istruttoria, per oscurare la porzione di immagine relativa all’abitazione.
Secondo il Garante, infatti, tale accorgimento avrebbe dovuto essere previsto e applicato fin dalla progettazione e dalla prima configurazione del sistema. Altre criticità sono state inoltre rilevate in materia di trasparenza e informazione agli interessati. I cartelli di videosorveglianza posizionati sul territorio facevano infatti riferimento in maniera generica a finalità di “sicurezza”, senza fornire le informazioni previste dal GDPR. Ritenuta insufficiente dall’Autorità anche la valutazione di impatto (DPIA) redatta dal Comune.
Alla luce delle violazioni accertate, il Garante ha quindi ordinato all’Ente una serie di misure per assicurare il rispetto della normativa. Il Comune dovrà effettuare una ricognizione di tutte le telecamere presenti sul territorio; individuare con precisione le finalità perseguite e la relativa base giuridica; verificare e correggere gli angoli di ripresa, evitando di includere abitazioni private e adottare, ove necessario, sistemi di mascheramento o oscuramento delle immagini.
Il Comune infine dovrà effettuare una completa valutazione di impatto sulla protezione dei dati e aggiornare e riformulare le informative ai cittadini.
Email marketing, in vigore le Linee guida sui tracking pixel
A fine mese scadono i sei mesi indicati dall’Autorità Garante per adeguarsi
Entro il 29 ottobre 2026 aziende, piattaforme e newsletter dovranno adeguare informative, consensi e sistemi di revoca alle Linee guida del Garante Privacy sull’utilizzo dei tracking pixel nelle comunicazioni di posta elettronica.
I tracking pixel sono minuscole immagini trasparenti, praticamente invisibili, inserite nelle email per rilevarne l’apertura e raccogliere informazioni sui comportamenti degli utenti. Tecnologie che, sottolinea il Garante, possono risultare particolarmente invasive perché operano spesso senza che il destinatario ne abbia piena consapevolezza.
Il loro utilizzo rientra nell’ambito di applicazione dell’articolo 122 del Codice privacy, che disciplina l’impiego di tecnologie in grado di accedere alle informazioni presenti nei dispositivi degli utenti o di monitorarne il comportamento online, mentre il Regolamento europeo sulla protezione dei dati (GDPR) ne definisce la cornice generale per quanto riguarda: trasparenza, consenso, responsabilizzazione del titolare e protezione dei dati fin dalla progettazione e per impostazione predefinita.
Per i tracking pixel è quindi necessario acquisire preventivamente un consenso libero, specifico e informato, mentre sono previste specifiche eccezioni, ad esempio per finalità di sicurezza, esigenze tecniche strettamente necessarie o comunicazioni istituzionali e di servizio, sempre nel rispetto dei principi di proporzionalità e minimizzazione dei dati.
Gli utenti devono inoltre ricevere un’informativa chiara e trasparente e poter revocare il consenso con modalità semplici, anche selettivamente.
Le Linee guida richiamano infine l’attenzione sull’adozione di misure di privacy by design e by default, volte a ridurre il rischio di identificabilità degli utenti e a limitare la circolazione dei dati personali.
Ricordiamo che la verifica dell’applicazione delle Linee guida sui tracking pixel nelle email rientra tra le attività ispettive previste dal Garante per il secondo semestre 2026.
Per aiutare tutti i soggetti che utilizzano tracking pixel (fornitori di servizi della società dell’informazione o che offrono servizi online accessibili al pubblico, provider di posta elettronica, gestori di piattaforme per l’invio massivo di email), il Garante privacy ha reso disponibile una scheda informativa che si può trovare sul sito dell’Autorità.
Assegno di inclusione, sì all’indagine a campione
Un questionario sarà sottoposto al 5% dei beneficiari
Con provvedimento n. 633 del 23 settembre 2026, il Garante per la protezione dei dati personali ha dato il via libera al Ministero del lavoro e delle politiche sociali sullo schema di decreto che disciplina l’indagine a campione per valutare l’impatto dell’assegno di inclusione (ADI).
L’Autorità ha espresso parere favorevole sulla prima fase del progetto, che prevede la somministrazione di un questionario con specifiche sezioni a un campione selezionato di beneficiari (non superiore al 5% dei fruitori totali dell’ADI), per misurare l’efficacia delle politiche di contrasto alla povertà. Il testo dello schema di decreto tiene conto delle numerose interlocuzioni di carattere tecnico-giuridico intercorse con l’Ufficio del Garante.
Con questo primo decreto, vengono chiarite la finalità statistico-scientifica dei trattamenti effettuati, approvati i questionari e le modalità di svolgimento della rilevazione, individuate le misure di sicurezza applicabili alla raccolta delle informazioni, il ruolo di protezione dei dati personali del soggetto incaricato della rilevazione e i tempi di conservazione dei dati.
L’integrazione dei dati raccolti nell’indagine con le informazioni in possesso di INPS, ANPAL, regioni, enti locali, Ministero dell’istruzione e Ministero delle finanze, sarà invece disciplinata da un successivo decreto ministeriale, previo parere del Garante Privacy.
Nel prossimo decreto, come richiesto dall’Autorità dovranno essere – anche in questo caso – individuate misure tecniche e organizzative adeguate a garantire la tutela dei dati trattati in virtù anche della loro particolare delicatezza. Nello specifico, le modalità di pseudonimizzazione, di gestione delle chiavi identificative dei profili di accesso e i relativi tempi di conservazione dei dati.