Garante Privacy aziende: sanzioni, minori e data breach
Garante Privacy aziende: le ultime indicazioni dell’Autorità mostrano ancora una volta che non basta avere un’informativa nel cassetto.
Trasparenza, tempi di conservazione, pubblicazione delle immagini e gestione delle violazioni devono essere tradotti in procedure concrete e applicate ogni giorno.
Nella Newsletter n. 548 del 17 giugno 2026, il Garante ha affrontato tre temi che possono offrire indicazioni utili anche alle imprese:
- la raccolta e la conservazione dei dati sanitari;
- la pubblicazione online delle immagini dei minori;
- la gestione delle notifiche di data breach.
Garante Privacy aziende: cosa insegna la sanzione a Emirates
Il Garante ha sanzionato Emirates per 180.000 euro in relazione al trattamento dei dati sanitari dei passeggeri con disabilità o a mobilità ridotta.
La raccolta di questi dati può essere legittima quando è necessaria per garantire assistenza e sicurezza durante il viaggio. Il problema riguardava però la scarsa trasparenza delle informazioni fornite e un periodo di conservazione dei dati pari a sette anni, ritenuto eccessivo rispetto alla finalità del trattamento.
Trasparenza e conservazione: cosa deve controllare l’azienda
Il caso non riguarda solo il settore aereo. Il principio è valido per qualsiasi organizzazione che raccolga dati personali, soprattutto quando si tratta di informazioni sanitarie.
L’azienda deve spiegare in modo chiaro:
- quali dati raccoglie;
- per quale motivo li utilizza;
- chi può consultarli;
- per quanto tempo vengono conservati;
- quando e come vengono cancellati.
Esempio concreto: conservare per anni certificati medici, documenti di idoneità o informazioni sanitarie senza una motivazione precisa può esporre l’organizzazione a contestazioni.
Non basta indicare genericamente che i dati saranno conservati “per il tempo necessario”. Il periodo deve essere definito e coerente con la finalità e con gli eventuali obblighi di legge.
Immagini dei minori sui social: attenzione anche ai profili aziendali
Il Garante ha ribadito che la pubblicazione sui social delle immagini di minori di 14 anni richiede il consenso preventivo di entrambi i genitori.
Nel caso esaminato, una madre aveva pubblicato fotografie dei figli senza il consenso dell’altro genitore. L’Autorità ha vietato ulteriori pubblicazioni e ha adottato un provvedimento di ammonimento.
La finalità affettiva, il numero limitato di fotografie o l’impostazione privata del profilo non eliminano il problema. Un contenuto pubblicato online può essere copiato, condiviso o reso visibile a terzi.
Garante Privacy aziende e fotografie durante eventi
Il principio interessa anche aziende, associazioni, scuole, società sportive e organizzatori di eventi.
Errore comune: pubblicare sui canali aziendali fotografie di feste, open day, corsi o iniziative con figli dei dipendenti senza aver raccolto un’autorizzazione adeguata.
Prima della pubblicazione è necessario verificare:
- chi esercita la responsabilità genitoriale;
- quali utilizzi sono stati autorizzati;
- su quali canali potranno apparire le immagini;
- per quanto tempo saranno utilizzate;
- come potrà essere revocata l’autorizzazione.
Attenzione a questo punto: il consenso alla partecipazione a un evento non equivale automaticamente al consenso alla pubblicazione delle fotografie sui social.
Data breach: verso un modello europeo di notifica
Il Comitato europeo per la protezione dei dati personali, EDPB, ha approvato e posto in consultazione un nuovo modello per la notificazione dei data breach.
L’obiettivo è arrivare a uno schema condiviso tra le Autorità europee e coordinare le notifiche attraverso un futuro punto unico di accesso.
Il modello non deve essere considerato già operativo. Per le aziende, però, rappresenta un segnale chiaro: la gestione delle violazioni dei dati sarà sempre più standardizzata e coordinata a livello europeo.
In caso di perdita, accesso abusivo, invio errato o diffusione non autorizzata di dati personali, l’azienda deve essere in grado di:
- rilevare rapidamente l’incidente;
- valutarne gravità e conseguenze;
- documentare le decisioni adottate;
- notificare il Garante entro 72 ore, quando necessario;
- informare le persone coinvolte nei casi di rischio elevato.
Cosa deve fare l’azienda
Le ultime indicazioni del Garante possono diventare una checklist operativa.
- Rivedere le informative privacy, verificando che siano chiare e aggiornate.
- Definire i tempi di conservazione per ogni categoria di dato.
- Controllare foto e video pubblicati sul sito e sui social aziendali.
- Predisporre autorizzazioni specifiche per l’utilizzo delle immagini dei minori.
- Aggiornare la procedura data breach e assegnare ruoli e responsabilità.
- Formare il personale per riconoscere e segnalare subito una violazione.
- Verificare fornitori e responsabili esterni che trattano dati per conto dell’azienda.
Per approfondire gli obblighi e i servizi disponibili, consulta la nostra pagina dedicata alla consulenza privacy aziendale.
La privacy funziona solo quando diventa operativa
Un’informativa generica, un archivio senza scadenze e una procedura data breach mai testata possono trasformarsi in un rischio concreto.
Noi di Sicurezza370 aiutiamo le organizzazioni a verificare la conformità privacy, aggiornare la documentazione e costruire procedure applicabili nella gestione quotidiana.
Vuoi capire se la gestione dei dati della tua azienda è realmente adeguata?
