Le tue preferenze sui cookie

Provv. Garante 10/06/2021 · art. 7 GDPR

Usiamo cookie tecnici essenziali per far funzionare la piattaforma (login, sicurezza, sessioni). Vorremmo usare anche cookie analitici per capire come migliorarla.

Puoi accettare tutto, rifiutare tutto, oppure scegliere quali categorie attivare.Il tuo consenso è valido 6 mesi e puoi revocarlo in ogni momento dal footer.

Trovi tutto nella nostra informativa privacy.

Tutte le news
Normativa 10 giugno 2026 6 min

Il Tribunale di Roma annulla la sanzione da 15 milioni del Garante a OpenAI: decide lo sportello unico

Sentenza n. 4153/2026 del 18 marzo 2026: il nodo non e' il merito, ma la competenza. Per i trattamenti transfrontalieri vale l'autorita' capofila

TL;DR per il DPO

18 marzo 2026: il Tribunale di Roma (sent. n. 4153/2026) annulla il provvedimento n. 755/2024 con cui il Garante aveva sanzionato OpenAI per 15 mln di euro. Il Tribunale ritiene assorbente la questione della COMPETENZA: per un trattamento transfrontaliero come quello di ChatGPT si applica il meccanismo dello sportello unico (one-stop-shop), con l'autorita' capofila (in UE, l'irlandese). Le contestazioni di merito (base giuridica per l'addestramento, informativa, verifica dell'eta', notifica del data breach) non vengono decise.

I fatti

Nel novembre 2024 il Garante aveva contestato a OpenAI una pluralita' di violazioni: assenza di base giuridica adeguata per l'addestramento dei modelli, carenze nell'informativa, sistemi di age verification insufficienti, mancata notifica di un data breach e inosservanza di precedenti prescrizioni. Sanzione: 15 mln di euro piu' una campagna di comunicazione istituzionale obbligatoria.

OpenAI ha impugnato davanti al Tribunale di Roma, che gia' nel marzo 2025 aveva sospeso in via cautelare la sanzione. Con la sentenza del 18 marzo 2026 l'annullamento e' diventato definitivo: il giudice accoglie il primo motivo, sulla competenza, ritenendolo assorbente rispetto agli altri.

15MEUR
Sanzione annullata
One-stop
Il nodo: competenza

Attenzione: non vuol dire che ChatGPT sia conforme

La sentenza NON certifica la conformita' di ChatGPT al GDPR: decide solo CHI era competente a sanzionare. Gli obblighi per le aziende che usano ChatGPT restano invariati. Se un tuo cliente usa strumenti di IA generativa, devi comunque verificare ruolo privacy del fornitore, base giuridica, informativa e DPA nel contesto d'uso specifico.

Cosa significa per il DPO

  • Per i trattamenti transfrontalieri il primo controllo e' la competenza: chi e' l'autorita' capofila?
  • Una sanzione nazionale puo' cadere su un vizio di competenza, a prescindere dal merito
  • Sull'IA generativa il quadro resta aperto: l'AI Act ridefinira' parte delle regole
  • Per i clienti che usano IA: verifica sempre il ruolo del provider e il DPA, non dare per scontata la conformita'
Fonte ufficiale:Tribunale di Roma, sent. n. 4153/2026 (dispositivo 18 marzo 2026)

Stai cercando un gestionale per il tuo lavoro di DPO?

DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.

Inizia gratis

Articoli correlati

Normativa
nullala decisione sul lavoratore presa dal solo algoritmo, dal 23 ottobre

Il licenziamento deciso dall'algoritmo è nullo: dal 23 ottobre in Italia

Pubblicato in Gazzetta Ufficiale n. 234 dell'8 ottobre 2026 ed entrato in vigore il 23 ottobre, il d.lgs. n. 179/2026 stabilisce che le decisioni finali sul rapporto di lavoro non possono fondarsi esclusivamente su trattamenti automatizzati, che il lavoratore può chiedere una motivazione comprensibile, e che le decisioni prese in violazione sono nulle. In parallelo, i sistemi di IA che incidono sull'organizzazione del lavoro entrano nella valutazione dei rischi ai sensi dell'art. 28 del d.lgs. 81/2008. Per un DPO è il raro caso in cui la conseguenza non è economica ma civilistica, e cambia il modo di impostare la verifica.

08 ott 2026Nuovo 8 min
Normativa
3segnali che rendono dovuta la notifica

Polonia, l'UODO: non ogni violazione va notificata. Dati di registro pubblico da una parte, PESEL, salute e dati finanziari dall'altra

Se dal sistema di fatturazione escono solo nome, ragione sociale, partita IVA e sede di un imprenditore, già pubblici nel registro, il rischio è di regola improbabile. Se escono anche identificativo nazionale, dettagli d'acquisto che rivelano la salute o dati finanziari, la notifica è dovuta. In ogni caso, la decisione va scritta nel registro interno.

05 ott 2026Nuovo 5 min
Normativa
120giorni per contestare, non per sanzionare

I 120 giorni non sono il termine per sanzionarti: sono il termine per contestarti

Chi ha impostato un'opposizione sulla tardività del Garante deve rileggere il calendario. La Cassazione chiarisce tre cose: reclamo e procedimento sanzionatorio sono autonomi, quindi lo sforamento dei nove-dodici mesi sul reclamo non fa decadere il potere di sanzionare; i 120 giorni servono a notificare la contestazione, non a irrogare la sanzione; e decorrono dal «definitivo accertamento», che non è la prima notizia ma il momento in cui l'Autorità può valutare tutti gli elementi — contraddittorio con te compreso. Dopo la contestazione resta solo la prescrizione quinquennale.

20 set 2026 7 min