TL;DR per il DPO
Provv. n. 419/2026: sanzione di 55.000 euro ad AgID per violazione degli artt. 5 (par. 1 lett. a e b, e par. 2), 12, 14 e 25 GDPR, con pubblicazione dell'ordinanza sul sito del Garante. Tradotto: liceita' e limitazione della finalita', informativa alle persone i cui dati NON sono raccolti direttamente (art. 14) e privacy by design. Se succede all'agenzia che scrive le regole tecniche della PA digitale, nessun ente puo' considerarsi al riparo.
I tre punti che contano
- L'art. 14 e' il grande dimenticato: quando i dati arrivano da altre fonti (banche dati, altri enti, fornitori) l'informativa e' dovuta comunque, con tempi precisi. E' la violazione tipica dei progetti che 'riusano' dati gia' disponibili.
- Privacy by design (art. 25) contestata a un ente pubblico: la conformita' va progettata prima di avviare piattaforme e servizi, non aggiustata dopo. Vale doppio per i progetti digitali della PA.
- La sanzione pubblica pesa piu' dei 55.000 euro: la pubblicazione dell'ordinanza sul sito del Garante e' una sanzione accessoria reputazionale che colpisce la credibilita' istituzionale.
Cosa fare adesso, in pratica
Se segui enti pubblici o fornitori della PA: 1) per ogni progetto che riusa dati di altre fonti, verifica che l'informativa art. 14 esista e sia stata resa nei termini; 2) pretendi la valutazione privacy PRIMA dell'avvio (by design documentato, non dichiarato); 3) usa questo caso nelle formazioni alla PA: e' l'argomento perfetto contro il 'siamo un ente pubblico, a noi non succede'.
Perche' conta per i tuoi clienti
Il valore del caso e' simbolico e pratico insieme: l'Autorita' applica le stesse regole a tutti, incluso l'ente che coordina la trasformazione digitale dello Stato. Per un DPO che lavora con la PA e' la leva per ottenere cio' che spesso viene rinviato: informative complete sulle banche dati riusate e valutazioni di progettazione fatte davvero prima del go-live. Il testo integrale dell'ordinanza sul sito del Garante chiarisce il contesto specifico dei trattamenti contestati.
Fonte ufficiale:Garante per la protezione dei dati personali - ordinanza ingiunzione n. 419 del 28 maggio 2026 (AgID)Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
