GPDP: RELAZIONE SULL’ATTIVITÀ 2023

 LA RELAZIONE PER L'ANNO 2023

 DISCORSO DEL PRESIDENTE PASQUALE STANZIONE

 RIVEDI L'EVENTO

 

RELAZIONE SULL’ATTIVITÀ 2023

Sintesi per la stampa

 

L'Autorità Garante per la protezione dei Dati personali - composta da Pasquale Stanzione, Ginevra Cerrina Feroni, Agostino Ghiglia, Guido Scorza - presenta oggi la Relazione sull’attività svolta nel quarto anno di mandato del Collegio.

La Relazione illustra i diversi fronti sui quali è stata impegnata l'Autorità nel corso di un anno caratterizzato da interventi in ambiti fortemente innovativi: digitalizzazione, intelligenza artificiale, PNRR e da alcune costanti: contrasto al telemarketing aggressivo, attenzione particolare ai soggetti vulnerabili, tutela dei dati sanitari.

Su entrambi i versanti, tra loro reciprocamente connessi, il Garante ha sempre cercato il difficile, talora arduo, componimento degli interessi e dei diritti in gioco proseguendo nel proprio compito di tutela di diritti veramente fondativi della libertà personale e sociale.

Gli interventi più rilevanti

Il 2023 ha visto una serie di interventi centrati sulle grandi questioni legate alla tutela dei diritti fondamentali delle persone nel mondo digitale: in particolare, le implicazioni etiche della tecnologia; l’Intelligenza Artificiale generativa; l’economia fondata sui dati; le grandi piattaforme e la tutela dei minori; i sistemi di age verification; i big data; le problematiche poste dagli algoritmi;  la sicurezza dei sistemi e la protezione dello spazio cibernetico; la monetizzazione delle informazioni personali; i fenomeni del revenge porn e del cyberbullismo.

Il 2023 è stato l’anno della diffusione massiva dell’Intelligenza Artificiale con importanti interventi del Garante. Dopo un iniziale blocco di ChatGPT, per raccolta illecita di Dati personali e assenza di sistemi per la verifica dell’età dei minori, la piattaforma è stata riaperta garantendo più trasparenza e più diritti agli utenti. Nel frattempo è stata costituita una task force ad hoc a livello europeo e sono in corso ulteriori verifiche dell’Autorità. Il Garante ha imposto lo stop anche al chatbot Replika : troppi i rischi per i Minori e le persone emotivamente fragili, ed ha avviato un’istruttoria su Sora il modello di intelligenza artificiale che crea brevi video da poche righe di testo.

Sotto la lente dell’Autorità anche Pornhub, chiesti chiarimenti su Profilazione degli utenti e sistemi di tracciamento. Sempre in questo ambito, il provvedimento del Garante privacy che detta le regole per difendere i Dati personali dal webscraping.

L’accelerazione del processo di digitalizzazione ha visto numerosi interventi dell’Autorità riguardanti in particolare la gestione centralizzata delle credenziali dell’identità digitale CIE (CIEId), il Single digital gateway (SDG) per lo scambio transfrontaliero di prove, la Piattaforma unica per le notifiche digitali di atti amministrativi. Proseguite anche le attività connesse ai trattamenti dell’Agenzia delle entrate che prevedono l’interscambio di informazioni fra amministrazioni per garantire l’esattezza e completezza della dichiarazione dei redditi precompilata, così come quelle legate all’operatività dell’Anagrafe nazionale dei residenti. Sempre per quanto riguarda la pubblica amministrazione, il Garante ha richiamato Ministeri, Enti locali e Regioni ad evitare diffusioni illecite di Dati personali e a contemperare obblighi di pubblicità degli atti e dignità delle persone.

Un significativo contributo è stato fornito dal Garante per la piena realizzazione del processo di digitalizzazione della giustizia, rispetto sia al processo (ordinario) telematico, sia alla costituzione delle infrastrutture digitali per le intercettazioni.

Importanti in ambito sanitario, gli interventi sulla riforma del Fascicolo sanitario elettronico 2.0 (FSE) e la realizzazione del sistema nazionale di telemedicina, che sono parte delle azioni di attuazione della Missione 6 (salute) del PNRR. Significativa anche la pubblicazione di un decalogo per la realizzazione di servizi sanitari nazionali attraverso sistemi di intelligenza artificiale e la recente segnalazione inviata al Governo sulle difformità riscontrate tra le varie Regioni nella realizzazione del FSE.

Particolare attenzione è stata posta all’uso dei dati biometrici e al diffondersi di sistemi di riconoscimento facciale. In particolare, l’Autorità ha inviato un avvertimento a Worldcoin in relazione al progetto di scansione dell’iride in cambio di criptovalute, senza adeguate garanzie e la necessaria consapevolezza da parte degli utenti.

Sul fronte della tutela on line dei Minori nell’anno trascorso è proseguita l’azione di vigilanza sull’età di iscrizione ai social, anche attraverso sistemi di age verification. In questa direzione si muove il tavolo di lavoro istituito con un protocollo d’intesa tra Garante e Agcom.

Firmati anche nuovi protocolli tra Garante e Co. Re.Com di diverse Regioni per combattere revenge porn e cyberbullismo.  Realizzati numerosi incontri con i giovani in diverse città italiane e premiate le scuole vincitrici del contest “Ambasciatori della Privacy”.

In particolare, proprio il fenomeno del revenge porn risulta in preoccupante aumento: 299 le segnalazioni di persone che temono la diffusione di foto e video a contenuto sessualmente esplicito, raddoppiate rispetto allo scorso anno. Le segnalazioni ricevute sono state trattate tempestivamente e nella maggior parte dei casi l’esame si è concluso con un provvedimento diretto alle piattaforme coinvolte per ottenere il blocco preventivo della diffusione delle foto e dei video.

Sul fronte della cybersecurity, Garante privacy e Agenzia per la Cybersicurezza Nazionale (ACN) hanno messo a punto le Linee guida per la conservazione delle password.

Significativo a questo proposito il numero dei data breach notificati nel 2023 al Garante da parte di soggetti pubblici e privati: 2.037. Nel settore pubblico (37% dei casi), le violazioni hanno riguardato soprattutto Comuni, istituti scolastici e strutture sanitarie; nel settore privato (63% dei casi) sono stati coinvolte sia PMI e professionisti sia grandi società del settore delle telecomunicazioni, energetico, bancario, dei servizi e delle telecomunicazioni.

Nei casi più gravi sono stati adottati provvedimenti di tipo sanzionatorio.

Numerosi, come in passato, i provvedimenti assunti nell’ambito del rapporto di lavoro, soprattutto con riguardo all’utilizzo della posta elettronica sul luogo di lavoro e all’impiego di sistemi di videosorveglianza. Da sottolineare due documenti di indirizzo elaborati nel corso dell’anno: uno dedicato alla gestione della posta elettronica nel contesto lavorativo e al Trattamento dei metadati, l’altro elaborato con ANAC e dedicato alla gestione delle procedure connesse al whistleblowing.

Sul fronte della tutela dei consumatori il Garante è intervenuto con decisione contro il telemarketing aggressivo con l’applicazione di pesanti sanzioni, la maggior parte delle quali riguardano l’utilizzo senza Consenso dei dati degli abbonati. L’Autorità ha inoltre approvato il Codice di condotta per le attività di telemarketing e di teleselling.

Un capitolo importante ha riguardato il rapporto tra privacy e diritto di cronaca.

Il Garante è intervenuto più volte per stigmatizzare l’eccesso di dettagli e le derive di morbosità e spettacolarizzazione di vicende tragiche e per assicurare le necessarie tutele.

Le cifre

Nel 2023 sono stati adottati 634 provvedimenti collegiali.

L’Autorità ha fornito riscontro a 9.281 reclami e segnalazioni riguardanti, tra l’altro il marketing e le reti telematiche; i dati on line delle pubbliche amministrazioni; la sanità; la giustizia, il cyberbullismo e il revenge porn, la sicurezza informatica; il settore bancario e finanziario; il lavoro.

I pareri resi dal Collegio su atti normativi e amministrativi sono stati 59 ed hanno riguardato la digitalizzazione della P.a.; la sanità; il fisco; la giustizia; l’istruzione; funzioni di interesse pubblico.

6 sono stati i pareri su norme di rango primario: in particolare, riguardo accertamento fiscale, digitalizzazione della Pa, giustizia, open data.

Le comunicazioni di notizie di reato all’autorità giudiziaria sono state 7 e hanno riguardato violazioni in materia di controllo a distanza dei lavoratori, falsità nelle dichiarazioni e notificazioni al Garante, accesso abusivo a un sistema informatico.

I provvedimenti correttivi e sanzionatori sono stati 394.

Le sanzioni riscosse sono state di circa 8 milioni.

2037 i data breach notificati all’Autorità.

Le ispezioni effettuate nel 2023 sono state 144 in linea rispetto a quelle dell’anno precedente.

Gli accertamenti svolti, anche con il contributo del Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza, hanno riguardato diversi settori, sia nell’ambito pubblico che privato: in particolare, SPID, ricerca scientifica, tecnologie di riconoscimento facciale, data breach, telemarketing, siti web ed uso dei cookie.

Effettuate le verifiche periodiche al VIS (Visa Information System), il sistema sui visti d’ingresso nello spazio Schengen.

Per quanto riguarda l’attività di relazione con il pubblico si è dato riscontro a oltre 19.200 quesiti, che hanno riguardato, in maniera preponderante, gli adempimenti connessi all’applicazione del Regolamento Ue e all’attività dei Responsabili del trattamento, seguiti dalle questioni legate al telemarketing indesiderato; al rapporto di lavoro pubblico e privato; alla videosorveglianza; alle problematiche poste dal web; alla salute e alla ricerca; all’intelligenza artificiale.

Oltre 4 milioni e 200 mila gli accessi al sito web dell’Autorità.

Per quanto riguarda l’attività di informazione e comunicazione istituzionale, nel 2023 l’Autorità ha diffuso 62 comunicati stampa, 17 Newsletter, realizzato 4 campagne informative, e prodotto 45 video informativi su temi di maggiore interesse per il pubblico, di cui 9 diffusi sui canali Rai Radio e Tv, sul web e sui social media.

L’attività internazionale

Non meno rilevante e intensa l’attività del Garante a livello internazionale, con 235 riunioni, molte delle quali svolte in presenza. Oltre agli organismi da sempre attivamente seguiti dall’Autorità, come il Consiglio d’Europa e l’Ocse, nel 2023 si è registrata la crescita delle attività legate ad altre istanze internazionali, come nel caso della Global privacy Assembly e delle iniziative delle Autorità di protezione del Paesi G7, anche in preparazione delle Presidenza italiana del 2024.

Nell’ambito del Comitato europeo per la protezione dei dati (Edpb), che riunisce le Autorità di protezione dati dello Spazio Economico Europeo, il Garante ha contribuito all’adozione di linee-guida su tematiche complesse tra le quali figurano quelle riguardanti le modifiche alle Linee guida per l’individuazione dell’Autorità capofila e le Linee guida sulla composizione delle controversie.

Sempre nel corso del 2023 l’Edpb ha adottato in via definitiva le Linee guida in materia di diritto di accesso, quelle sul riconoscimento facciale nel settore delle attività di polizia e giustizia e quelle sul calcolo delle sanzioni pecuniarie.

Adottate, inoltre, le Linee guida aggiornate sulle notifiche dei data breach e quelle sui modelli di progettazione ingannevoli.

Fra i più importanti pareri resi dall’Edpb e ai quali ha contribuito il Garante, va sottolineato il parere con il quale il Comitato ha accolto con favore i miglioramenti sostanziali del Data privacy Framework UE – USA, che come il privacy Shield, è un sistema di autocertificazione attraverso il quale le organizzazioni statunitensi aderenti, si impegnano a rispettare una serie di principi sulla privacy emanati dal Dipartimento del commercio degli Stati Uniti.

Importanti anche le indagini sull’utilizzo del cloud da parte del settore pubblico e quella sul ruolo del Responsabile della protezione dati realizzate nell’ambito dell’attività di enforcement dell’Edpb.

Tra i punti cardine in materia finanziaria vanno evidenziati i lavori relativi all’euro digitale e il Trattamento dei dati nell’ambito delle disposizioni in materia di antiriciclaggio e contrasto al finanziamento del terrorismo.

Il Garante ha partecipato attivamente alle riunioni dei gruppi di lavoro in ambito europeo in materia di sicurezza e giustizia (sistema di informazione Schengen, Europol, Eurojust, Procura europea). Da sottolineare l’attività svolta nell’ambito del Consiglio d’Europa, in particolare attraverso la partecipazione al Comitato consultivo della Convenzione 108/1981, cd T-PD e al gruppo ristretto T-PD Bureau incaricato di preparare i documenti da sottoporre alla plenaria.

Significativo anche il contributo dato dall’Autorità in seno all’Ocse, in particolare attraverso la partecipazione al DGP (Working Party on Data Governance and Privacy), di cui il Garante detiene la vicepresidenza dal 2012, confermata nelle elezioni della Plenaria di novembre anche per il 2024.

Nel corso del 2023 il WP ha lavorato sul tema dell’IA discutendo dei progressi nell’IA Generativa e dando conto dell’azione del Garante italiano nei confronti di ChatGPT, anche alla luce del provvedimento di aprile 2023 con il quale l’Autorità ha fornito le prescrizioni su trasparenza, diritti degli interessati e base giuridica del trattamento.

Roma, 3 luglio 2024

---

1. Introduzione 3
2. Il quadro normativo in materia di protezione dei Dati personali 16
2.1. Le leggi 16
2.2. I decreti-legge 19
2.3. I decreti legislativi 23
3. I rapporti con il Parlamento e le altre istituzioni 26
3.1. L’attività consultiva del Garante 26
3.1.1. La consultazione del Garante nell’ambito del procedimento 26
legislativo o dell’esercizio delle funzioni conoscitive, di indirizzo
e controllo delle Camere
3.1.2. La consultazione del Garante su atti normativi statali di rango 27
primario: i pareri al Governo su progetti di legge e schemi di
decreto legislativo
3.1.3. I pareri sugli atti regolamentari o amministrativi in generale 27
3.1.4. La consultazione del Garante sugli atti normativi regionali o 29
di province autonome
3.1.5. Segnalazioni 30
3.1.6. Quesiti 30
3.2. Consultazione attraverso la piattaforma IMI 30
3.3. Il contributo al Governo ai fini del riscontro ad atti di sindacato ispettivo 31
3.4. L’esame delle leggi regionali al vaglio di costituzionalità del Governo 31
II - L’ATTIVITÀ SVOLTA DAL GARANTE
4. Il Garante e le amministrazioni pubbliche 35
4.1. L’attività fiscale, tributaria e in materia di antiriciclaggio 35
4.1.1. La dichiarazione dei redditi precompilata 35
4.1.2. Antiriciclaggio 37
4.2. Previdenza, assistenza sociale e altri benefici economici 38
4.3. La protezione dei Dati personali in ambito scolastico e universitario 39
4.4. Trasparenza e pubblicità dell’azione amministrativa 42
4.4.1. La pubblicazione di Dati personali online da parte delle pubbliche 42
amministrazioni
4.4.2. Accesso civico 43
4.5. trattamenti di Dati personali effettuati dalle amministrazioni centrali, 47
regioni ed enti locali
4.5.1. trattamenti di Dati personali effettuati dalle amministrazioni 47
centrali
4.5.2. trattamenti di Dati personali effettuati presso regioni ed enti locali 49
4.5.2.1. Ambiente 49
4.5.2.2. Mobilità e trasporti 50
4.5.3. Esercizio dei diritti 50
4.6. trattamenti per finalità amministrative 51
4.7. Servizi online e misure di sicurezza 52
4.8. Il RPD in ambito pubblico 53
4.9. Ordini professionali 53
4.10. Digitalizzazione della pubblica amministrazione 54
4.11. La materia anagrafica ed elettorale 57
4.12. trattamenti di Dati personali in ambito pubblico mediante dispositivi video 58
5. La sanità 60
5.1. La sanità digitale 60
5.1.1. Il Fascicolo sanitario elettronico 60
5.1.2. Il dossier sanitario 63
5.1.3. La telemedicina 64
5.2. L’uso dell’intelligenza artificiale in sanità 65
5.3. trattamenti di Dati personali nell’ambito dei sistemi informativi 67
sanitari centrali
5.4. trattamenti per finalità di cura e amministrative correlate alla cura 70
5.4.1. Provvedimenti derivanti da data breach 70
5.4.2. Provvedimenti derivanti da reclami e segnalazioni 74
5.4.3. Provvedimenti derivanti da istruttorie attivate d’ufficio 79
5.4.4. Provvedimenti relativi al Trattamento di Dati personali effettuato 80
nell’ambito dell’emergenza sanitaria
5.5. trattamenti per finalità ulteriori rispetto a quelle di cura e/o 81
amministrative correlate alla cura
5.6. Esercizio dei diritti 84
6. La ricerca scientifica 86
6.1. Provvedimenti adottati ai sensi dell’art. 110 del Codice 86
6.2. Chiarimenti in merito all’art. 110-bis, comma 4, del Codice 92
6.3. Altri provvedimenti in materia di trattamenti per scopi di ricerca scientifica 93
7. La statistica 96
7.1. La statistica ufficiale 96
8. I trattamenti in ambito giudiziario e di sicurezza 99
8.1. trattamenti in ambito giudiziario 99
8.2. trattamenti da parte di forze di polizia 101
8.3. Pareri resi su schemi di decreti in ambito giudiziario o in relazione 101
ad attività di polizia
8.4. Il controllo sul CED del Dipartimento della pubblica sicurezza 103
8.5. Il controllo sul Sistema di informazione Schengen 103
8.5.1. Follow up della valutazione Schengen relativa all’Italia 103
8.5.2. L’attività di controllo e monitoraggio sul SIS II 104
9. L’attività giornalistica 105
9.1. Dati statistici e aspetti procedurali 105
9.2. Trattamento di dati nell’esercizio dell’attività giornalistica 106
9.2.1. Dati giudiziari 106
9.2.2. Illecita diffusione di dati sanitari 106
9.2.3. Dati relativi a Minori 107
9.2.4. Dati di personaggi noti 108
9.2.5. Notizie di rilevante interesse pubblico e rispetto dell’essenzialità 109
dell’informazione
9.2.6. Istanze di cancellazione rivolte agli editori 111
9.3. Trattamento di dati da parte dei motori di ricerca 112

10. Cyberbullismo e
revenge porn 117
11.
Marketing e Trattamento di Dati personali 118
11.1. Il fenomeno del telemarketing indesiderato e l’azione di contrasto 118
11.1.1. Il telemarketing illegale nel settore telefonico 120
11.1.2. Il telemarketing illegale nel settore energetico 121
11.1.3. Attivazione illecita di schede telefoniche 122
11.1.4. Utilizzo di call-center ubicati fuori dall’Unione europea 123
11.1.5. Scenari evolutivi nel settore del telemarketing illegale: 123
il codice di condotta
11.1.6. Marketing e Profilazione 123
11.1.7. Marketing attraverso modelli oscuri (dark pattern) 124
e banche dati illecite
11.1.8. Attività svolte nell’ambito della tutela del consumatore nei servizi 125
di comunicazione elettronica
12. Servizi di comunicazioni elettroniche e internet 126
12.1. Meta Election Day Information (EDI) 126
12.2. Conservazione di dati di traffico 126
12.3. Data retention per finalità giudiziarie 126
12.4. Cookie e altri strumenti di tracciamento di Dati personali 127
12.5. Trattamento di Dati personali in rete 127
12.6. Trattamento di Dati personali mediante dispositivi connessi 128
12.7. Attività in materia di Trattamento dati medianti sistemi di 129
intelligenza artificiale
12.8. Schemi di decisione finale ai sensi dell’art. 60, parr. 7 o 8, del RGPD 130
12.9. Procedure di cooperazione europea relative a trattamenti transfrontalieri di 130
dati personali effettuati da fornitori di servizi della società dell’informazione
13. La protezione di Dati personali nel rapporto di lavoro 135
privato e pubblico
13.1. Trattamento di dati mediante la posta elettronica 135
13.2. Esercizio dei diritti 140
13.3. Trattamento di dati biometrici 146
13.4. Trattamento di dati sanitari 147
13.5. Videosorveglianza nei luoghi di lavoro del settore privato 148
13.6. Pubblicazione di dati in internet 151
13.7. Trattamento di dati mediante dispositivi tecnologici 151
13.8. Trattamento di dati nell’ambito delle procedure di acquisizione 152
e gestione delle segnalazioni di illeciti (cd. whistleblowing)
13.9. La protezione di dati nell’ambito del rapporto di lavoro pubblico 153
13.9.1. Trattamento di dati per finalità di instaurazione e gestione 154
del rapporto di lavoro
13.9.1.1. Trattamento di dati nell’ambito di procedure concorsuali 154
13.9.1.2. Trattamento di dati effettuato in occasione 156
dell’accertamento del requisito vaccinale
per i professionisti sanitari
13.9.1.3. Comunicazione di dati a soggetti terzi e circolazione 156
di informazioni nei contesti lavorativi
13.9.1.4. Diffusione online di dati dei lavoratori 157
13.9.2. Dati personali di lavoratori in banche dati pubbliche 159

14. Le attività economiche 162
14.1. Trattamento di dati in ambito assicurativo 162
14.2. Trattamento di dati in ambito bancario-finanziario e sistemi 163
di informazioni creditizie
14.3. Imprese 170
14.4. Concessionari di pubblici servizi 174
14.5. Procedure IMI relative a Trattamento di dati in ambito 176
economico-produttivo
15. Altri trattamenti in ambito privato 178
15.1. Trattamento di Dati personali nell’ambito del condominio 178
15.2. Trattamento di dati da parte di associazioni e fondazioni 180
15.3. Videosorveglianza nel settore privato 184
16. Intelligenza artificiale e diritto alla protezione 187
dei dati personali
17. Violazioni dei Dati personali 193
18. Il trasferimento dei Dati personali all’estero 194
19. L’attività ispettiva 195
19.1. L’attività ispettiva fra programmazione e contingenze 195
19.2. Controlli online sulle cd. linee guida in materia di cookie 196
19.3. La collaborazione con la Guardia di finanza 196
20. Il contenzioso giurisdizionale 198
20.1. Considerazioni generali 198
20.2. Le opposizioni ai provvedimenti del Garante e le decisioni giudiziali 198
di maggior rilievo
20.3. Il contributo del Garante nei giudizi in materia di protezione dati 209
21. Le relazioni comunitarie e internazionali 210
21.1. La cooperazione tra le autorità di protezione dati nello Spazio 211
economico europeo: il Comitato europeo per la protezione dei dati
21.2. La cooperazione delle autorità di protezione dati nel settore libertà, 220
giustizia e affari interni
21.2.1. Comitato di controllo coordinato 220
21.2.2. Gruppo di supervisione del sistema EURODAC 222
21.2.3. Gruppo di coordinamento della supervisione del 223
Sistema informativo doganale
21.3. La partecipazione dell’Autorità in seno al Consiglio d’Europa, 223
all’OCSE e ad altri gruppi di lavoro internazionali
21.4. Le Conferenze internazionali ed europee 226
21.5. Le domande pregiudiziali davanti alla Corte di giustizia dell’Unione europea 227
21.6. I progetti per l’applicazione del RGPD finanziati dall’Unione europea 228
22. Attività di normazione tecnica internazionale e nazionale 230

23. L’attività di comunicazione, informazione e di rapporto 233
con il pubblico
23.1. La comunicazione del Garante: profili generali 233
23.2. I prodotti informativi 235
23.3. Il sito istituzionale, i prodotti multimediali e le pubblicazioni 236
23.4. Le manifestazioni e i convegni 237
23.5. L’attività internazionale 238
23.6. L’assistenza al pubblico e la predisposizione di nuovi strumenti informativi 238
III - L’UFFICIO DEL GARANTE
24. Attività di studio e documentazione 243
25. La gestione amministrativa e dei sistemi informatici 244
25.1. Il bilancio e la gestione economico-finanziaria dell’Autorità 244
25.2. L’attività contrattuale, la logistica e la manutenzione dell’immobile 245
25.3. L’organizzazione dell’Ufficio 247
25.4. “Amministrazione trasparente” e adempimenti relativi alla 250
disciplina anticorruzione
25.5. Il settore informatico-tecnologico e la transizione digitale 251
IV - I DATI STATISTICI