Il Garante Privacy ha pubblicato le relazione sull’attività svolta nel corso del 2024, congiuntamente al discorso del proprio Presidente, reso innanzi la Camera dei Deputati lo scorso 15 luglio 2025.
In estrema sintesi, nel corso del 2024, il Garante per la protezione dei dati personali ha continuato a esercitare un ruolo centrale nel bilanciamento tra innovazione tecnologica e tutela dei diritti fondamentali: l’azione dell’Autorità si è intensificata di fronte alla crescente complessità degli scenari digitali, all’uso pervasivo dell’intelligenza artificiale e all’incremento degli attacchi informatici, che minano la sicurezza delle informazioni personali.
L’attività ispettiva ha assunto un peso rilevante nell’azione dell’Autorità, anche grazie alla collaborazione con il Nucleo speciale privacy e frodi tecnologiche della Guardia di Finanza: il Garante ha indirizzato le verifiche ispettive su alcuni ambiti particolarmente sensibili, con l’obiettivo di contrastare trattamenti illeciti, promuovere il rispetto della normativa e sanzionare comportamenti scorretti.
Tra questi, si segnalano in particolare, di seguito alcuni settori di rilevanza, rimandando per il dettaglio dell’attività ispettiva alla lettura delle relazione allegata.
Marketing e trattamento di dati personali
Le ispezioni hanno evidenziato il ricorso sistematico a pratiche promozionali invasive, come l’invio massivo di comunicazioni pubblicitarie senza consenso valido e la cessione dei dati personali a terze parti senza adeguata informativa.
Le verifiche hanno riguardato società di telemarketing, piattaforme online e broker di dati, spesso operanti in maniera opaca.
Il Garante ha infatti riscontrato l’assenza di meccanismi efficaci per la gestione del consenso e per la revoca dello stesso, e ha sanzionato condotte caratterizzate da una raccolta e conservazione dei dati non proporzionata rispetto alle finalità dichiarate.
Servizi di comunicazioni elettroniche e internet
Nel settore delle comunicazioni elettroniche, l’attenzione si è concentrata:
- sull’uso dei cookie
- sulla profilazione degli utenti
- sull’accesso abusivo ai dati di traffico.
Le ispezioni hanno fatto emergere criticità nel rispetto dei principi di trasparenza e minimizzazione, soprattutto nei confronti di provider e gestori di siti web che tracciavano gli utenti a fini pubblicitari senza una chiara informativa.
Inoltre, sono stati approfonditi i casi di utilizzo di sistemi di intelligenza artificiale generativa per finalità di elaborazione dei dati personali, con particolare attenzione all’assenza di garanzie adeguate.
Protezione dei dati nel rapporto di lavoro (pubblico e privato)
Il Garante Privacy ha riscontrato, come emerge dalla relazione 2024, numerose irregolarità nei trattamenti effettuati dai datori di lavoro, in particolare nel settore pubblico.
Tra le violazioni più frequenti:
- l’accesso non autorizzato a dati sanitari dei dipendenti
- l’utilizzo improprio di sistemi di geolocalizzazione
- la raccolta di informazioni eccedenti rispetto a quelle necessarie per le finalità contrattuali.
L’Autorità ha ribadito la necessità di informare in modo adeguato i lavoratori e di coinvolgere preventivamente le rappresentanze sindacali nei casi di installazione di strumenti di controllo a distanza.
Le attività economiche ispezionate nella relazione 2024 del Garante Privacy
Nel corso del 2024, l’attività ispettiva del Garante si è intensificata anche nei confronti di soggetti operanti nel settore finanziario e assicurativo, in considerazione dell’elevato volume di dati trattati e della particolare sensibilità delle informazioni gestite: le verifiche hanno interessato sia grandi gruppi bancari e assicurativi sia intermediari di minori dimensioni.
Le ispezioni hanno fatto emergere numerose criticità in materia di informativa, gestione dei consensi e profilazione, soprattutto nel contesto delle attività di marketing e nella concessione di prodotti finanziari personalizzati.
Sono stati riscontrati trattamenti eccedenti rispetto alle finalità dichiarate, in particolare con riferimento alla raccolta di dati relativi alle abitudini di spesa, ai comportamenti online e alla geolocalizzazione dei clienti.
In alcuni casi, i sistemi di credit scoring automatizzato risultavano privi di adeguata base giuridica o non accompagnati da misure che garantissero il diritto alla spiegazione e alla contestazione del risultato.
Particolare attenzione è stata dedicata al principio di minimizzazione, frequentemente disatteso nei processi di raccolta dati legati alla sottoscrizione di contratti bancari e assicurativi.
Le carenze emerse hanno condotto, in vari casi, all’avvio di procedimenti sanzionatori e alla richiesta di adeguamento delle misure di compliance privacy, anche attraverso la nomina di DPO e la revisione dei registri dei trattamenti.
Quanto alle imprese, le criticità più ricorrenti hanno riguardato:
- la conservazione dei dati oltre i limiti temporali previsti
- la mancanza di misure tecniche e organizzative adeguate
- l’inosservanza del principio di accountability.
Sono stati avviati controlli anche sui trattamenti effettuati tramite piattaforme di gestione dei clienti (CRM) e su sistemi automatizzati di analisi dei comportamenti di acquisto, spesso utilizzati senza adeguata base giuridica.