Cosa è cambiato
Dal 15 settembre 2026 la CNPD tratta come urgenti tre tipi di segnalazione che riguardano dati personali di bambini e ragazzi. L'annuncio è del 17 settembre. Il canale non sostituisce la notifica di violazione dell'art. 33 GDPR, non sostituisce i moduli generali di partecipazione e non è un'interpretazione del diritto: è un modo diverso di lavorare dell'autorità.
La prima cosa da capire è la direzione, perché è quella che decide se serve fare qualcosa oppure no. Il canale non crea nessun obbligo nuovo per il titolare del trattamento: è uno strumento in mano ai cittadini, serve a segnalare e non a notificare. Quello che cambia, per chi tratta dati di minori, non è un adempimento in più. È la velocità con cui una segnalazione che lo riguarda arriva all'autorità e viene presa in carico.
- Accesso indebito a dati di minori.
- Raccolta e diffusione di immagini o registrazioni con contenuto sensibile o violento, senza consenso.
- Pubblicità mirata ai minori.
Il canale può essere usato dai bambini e dai ragazzi stessi, e da qualunque cittadino che si accorga della condivisione illecita di questi contenuti. Non serve essere l'interessato né il genitore: basta vederlo. È una scelta che allarga di molto la platea di chi può far partire una pratica.
Quello che la CNPD dichiara di poter fare una volta ricevuta la segnalazione conta più del canale in sé: adottare misure urgenti per limitare la diffusione illecita in rete di contenuti che mettono a grave rischio diritti e libertà; comunicare le informazioni ad autorità pubbliche competenti, in particolare a quelle giudiziarie; e, se il trattamento è transfrontaliero, trasmettere i dati alle autorità dello Spazio economico europeo attraverso il sistema IMI. L'ultimo punto è il motivo per cui la notizia non riguarda solo il Portogallo: un titolare italiano o spagnolo che tratta dati di minori può finire in uno scambio IMI aperto da una segnalazione portoghese.
Dove si sbaglia
Il fatto che fra gli interessati di un trattamento ci siano dei minori non basta a dire che questa notizia lo riguarda. Se bastasse si accenderebbero insieme la scuola, il pediatra, la società sportiva e il centro estivo, e il DPO smetterebbe di leggere gli avvisi. Conta l'operazione concreta: riprese e fotografie di bambini, piattaforme usate da minori, pubblicità comportamentale con minori fra i destinatari, accessi ai dati dei minori aperti a profili troppo ampi.
In pratica, per ogni cliente che tratta dati di minori conviene rileggere il registro cercando quelle operazioni e non la parola «minori». Dove ci sono, quello che vale la pena mettere agli atti è breve: che si è valutata l'applicabilità del canale, la data, il riferimento della CNPD e l'eventuale inoltro. Il modulo ufficiale si compila sul sito dell'autorità e non va replicato altrove, se non altro perché ha un captcha e rifiuta certi caratteri: una copia diverge al primo ritocco. Le prove si tengono ad accesso ristretto, senza duplicare contenuti sensibili più del necessario.
I due binari possono correre insieme
In un caso che coinvolge dati di minori, il Canal Prioritário e la notifica di violazione dell'art. 33 GDPR possono applicarsi nello stesso momento. Il primo è una segnalazione che arriva all'autorità dall'esterno, la seconda è un obbligo del titolare: non si escludono e non si sostituiscono.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis