Sorveglianza in azienda: limiti per il datore

Sorveglianza e controllo: un equilibrio tra potere organizzativo e tutela della persona

L’evoluzione tecnologica ha ampliato in modo significativo le possibilità di controllo da parte delle imprese, rendendo sempre più centrale il tema della sorveglianza nei luoghi di lavoro e negli spazi aperti al pubblico. Telecamere, sistemi digitali di monitoraggio e strumenti di tracciamento rappresentano oggi strumenti diffusi, ma il loro utilizzo è rigidamente disciplinato dall’ordinamento.

Il sistema normativo italiano ed europeo si fonda su un principio di fondo: il potere di controllo del datore di lavoro non è assoluto, ma deve essere esercitato nel rispetto della dignità della persona e dei diritti fondamentali, in particolare della riservatezza.

Il controllo sui lavoratori: il perimetro dell’art. 4 dello Statuto

Il riferimento principale è costituito dall’articolo 4 della legge n. 300 del 1970 (Statuto dei Lavoratori), profondamente modificato dal Jobs Act.

La norma stabilisce un divieto generale di utilizzo di impianti audiovisivi e altri strumenti dai quali derivi la possibilità di controllo a distanza dell’attività dei lavoratori. Tale divieto non è tuttavia assoluto, ma conosce specifiche eccezioni.

Gli impianti possono essere installati esclusivamente per esigenze:

organizzative e produttive
di sicurezza sul lavoro
di tutela del patrimonio aziendale

In questi casi, l’installazione è subordinata alla stipula di un accordo con le rappresentanze sindacali o, in alternativa, all’autorizzazione dell’Ispettorato territoriale del lavoro.

La violazione di tali condizioni comporta non solo sanzioni, ma anche l’inutilizzabilità delle informazioni raccolte.

Strumenti di lavoro e controlli indiretti

Un diverso regime si applica agli strumenti utilizzati dal lavoratore per rendere la prestazione, quali computer, smartphone aziendali o sistemi di geolocalizzazione.

Per tali strumenti, la legge non richiede una preventiva autorizzazione, ma impone comunque il rispetto della disciplina in materia di protezione dei dati personali. In particolare, il datore di lavoro è tenuto a fornire un’informativa chiara e completa sulle modalità di utilizzo degli strumenti e sui controlli eventualmente effettuati, ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679.

Resta fermo il limite generale della proporzionalità: il controllo non può tradursi in una sorveglianza continua e invasiva dell’attività lavorativa.

Videosorveglianza nei confronti di clienti e utenti

La disciplina della sorveglianza si estende anche ai locali aperti al pubblico, nei quali le imprese possono installare sistemi di videosorveglianza per finalità di sicurezza e tutela del patrimonio.

In tali contesti trovano applicazione le disposizioni del GDPR e del Codice Privacy (D.lgs. 196/2003), nonché i provvedimenti del Garante per la protezione dei dati personali.

Gli obblighi principali riguardano:

l’esposizione di un’informativa visibile, anche in forma semplificata
la limitazione delle finalità del trattamento
la riduzione al minimo dei dati raccolti
la conservazione delle immagini per un periodo limitato, generalmente non superiore a 24 o 72 ore

Non è consentito un utilizzo indiscriminato delle immagini né la loro destinazione a finalità ulteriori rispetto a quelle dichiarate.

Sorveglianza e spazi pubblici

La sorveglianza degli spazi pubblici è riservata prevalentemente alle autorità pubbliche e rientra nell’ambito delle politiche di sicurezza urbana. I privati possono installare sistemi di ripresa solo per la tutela dei propri beni, evitando di estendere il controllo su aree pubbliche o su proprietà altrui in modo non necessario.

Il rispetto del principio di pertinenza e non eccedenza assume, in questo ambito, un ruolo centrale.

Le nuove forme di controllo digitale

L’innovazione tecnologica ha introdotto nuove modalità di controllo, tra cui software di monitoraggio delle attività, analisi dei dati, sistemi di intelligenza artificiale e strumenti di tracciamento.

Questi strumenti pongono ulteriori criticità, richiedendo una valutazione preventiva dei rischi per i diritti e le libertà degli interessati. In molti casi, si rende necessaria la redazione di una valutazione d’impatto sulla protezione dei dati (art. 35 GDPR).

Il principio di trasparenza assume una funzione decisiva: ogni forma di controllo deve essere conoscibile e comprensibile da parte dei soggetti coinvolti.

Profili sanzionatori

Il mancato rispetto della normativa espone l’impresa a un sistema articolato di responsabilità.

Sul piano amministrativo, il GDPR prevede sanzioni fino a 20 milioni di euro o al 4% del fatturato annuo globale. Sul piano penale, lo Statuto dei Lavoratori sanziona l’installazione illegittima di strumenti di controllo.

A ciò si aggiungono effetti indiretti, quali l’inutilizzabilità delle prove raccolte e il rischio di contenzioso con lavoratori e clienti.

Conclusioni

La sorveglianza rappresenta uno strumento legittimo di gestione dell’impresa, ma il suo utilizzo è subordinato al rispetto di limiti rigorosi. Il quadro normativo impone un bilanciamento tra esigenze organizzative e tutela dei diritti fondamentali, che richiede un approccio consapevole e strutturato.

Per le imprese, la corretta gestione dei sistemi di controllo non è soltanto un adempimento giuridico, ma un elemento essenziale di affidabilità e sostenibilità organizzativa.

Se avete bisogno di ulteriori chiarimenti o di una consulenza su questi o altri argomenti non esitare a contattarci, lascia i contatti sul nostro sito per essere ricontattato.

Data Breach nel 2026: le principali minacce informatiche e come proteggere la tua azienda

Data Breach nel 2026: Quali sono le minacce più gravi e come difendersi?

Nel 2026 il panorama della sicurezza informatica continua a evolversi rapidamente. L’aumento degli attacchi ransomware, l’utilizzo dell’intelligenza artificiale da parte dei cybercriminali e l’entrata in vigore di nuovi obblighi normativi hanno reso la protezione dei dati una priorità strategica per imprese, professionisti e Pubbliche Amministrazioni.

I Data Breach non rappresentano più eventi isolati, ma costituiscono una delle principali minacce alla continuità operativa delle organizzazioni. Le conseguenze possono comprendere la perdita di dati sensibili, interruzioni dell’attività, danni reputazionali e pesanti sanzioni previste dal GDPR.

Principali Data Breach del 2026

Oracle Cloud: Nel 2026 Oracle è stata coinvolta in uno degli incidenti di sicurezza più discussi dell’anno, con la compromissione di credenziali e dati riconducibili ad alcuni servizi cloud. L’episodio ha riacceso il dibattito sulla sicurezza delle infrastrutture cloud e sulla gestione degli accessi privilegiati.

Marks & Spencer: La nota catena britannica è stata vittima di un sofisticato attacco ransomware che ha causato interruzioni operative, problemi nella gestione degli ordini online e la compromissione di dati personali dei clienti. L’attacco è stato attribuito a gruppi criminali specializzati in estorsioni informatiche.

Coinbase: La piattaforma internazionale di scambio di criptovalute ha subito una violazione che ha interessato dati personali di numerosi utenti. Sebbene non siano stati compromessi i fondi dei clienti, l’episodio ha evidenziato come anche le grandi piattaforme digitali restino bersagli privilegiati dei cybercriminali.

Settore sanitario europeo: Nel corso del 2026 numerose strutture sanitarie europee sono state colpite da campagne ransomware coordinate, con conseguenti rallentamenti nei servizi sanitari e compromissione di dati clinici particolarmente sensibili.

Minacce Informatiche Più Gravi nel 2026

Ransomware sempre più sofisticati: Il ransomware continua a rappresentare la principale minaccia informatica. I gruppi criminali adottano oggi tecniche di doppia e tripla estorsione, cifrando i dati aziendali, sottraendoli e minacciandone la pubblicazione qualora non venga pagato il riscatto.

Attacchi di Social Engineering potenziati dall’Intelligenza Artificiale: L’AI consente oggi di creare email di phishing estremamente credibili, deepfake audio e video, documenti contraffatti e siti web praticamente identici agli originali, rendendo sempre più difficile distinguere una comunicazione autentica da una fraudolenta.

Attacchi alla Supply Chain: Sempre più cybercriminali colpiscono fornitori di software, servizi cloud e partner tecnologici per raggiungere indirettamente le aziende clienti. La sicurezza della filiera è oggi uno degli aspetti maggiormente attenzionati anche dalla Direttiva NIS2.

Violazioni interne: Errori umani, configurazioni errate dei sistemi, utilizzo improprio del cloud e comportamenti negligenti dei dipendenti continuano a rappresentare una delle principali cause dei Data Breach. Per questo motivo la formazione del personale rimane uno degli strumenti di difesa più efficaci.

Strategie di Difesa Consigliate

Aggiornamento e Patch Regolari: Mantenere costantemente aggiornati sistemi operativi, software e dispositivi è fondamentale per ridurre le vulnerabilità sfruttabili dagli aggressori. Una corretta gestione delle patch rappresenta uno dei principali strumenti di prevenzione.
Formazione Continua del Personale: Investire nella formazione dei dipendenti significa ridurre significativamente il rischio di attacchi basati su phishing, social engineering ed errori operativi. Simulazioni periodiche e programmi di sensibilizzazione rafforzano la cultura della sicurezza aziendale.
Autenticazione Multifattore (MFA): L’adozione dell’autenticazione multifattore protegge gli account aziendali anche in caso di compromissione delle password e rappresenta oggi una delle misure di sicurezza maggiormente raccomandate.
Monitoraggio Continuo e Soluzioni Basate sull’IA: L’impiego di sistemi EDR, XDR e piattaforme di monitoraggio che sfruttano l’intelligenza artificiale permette di individuare tempestivamente comportamenti anomali, tentativi di intrusione e attività sospette, migliorando la capacità di risposta agli incidenti.
Piani di Business Continuity e Incident Response: Ogni organizzazione dovrebbe predisporre procedure per la gestione degli incidenti informatici, backup periodici, disaster recovery e continuità operativa, così da limitare gli effetti di un eventuale attacco.

Conclusione

Il 2026 conferma che la sicurezza informatica non può più essere considerata un semplice adempimento tecnico o normativo. La crescente sofisticazione degli attacchi, l’utilizzo dell’intelligenza artificiale da parte dei cybercriminali e i nuovi obblighi introdotti dalla Direttiva NIS2 impongono alle imprese un approccio sempre più strutturato alla gestione del rischio informatico.

Investire nella cybersecurity significa proteggere il patrimonio informativo aziendale, garantire la continuità operativa, tutelare la fiducia di clienti e partner e assicurare la conformità alle disposizioni del GDPR e delle altre normative europee.

Adottare adeguate misure tecniche e organizzative oggi non rappresenta più un vantaggio competitivo, ma una condizione indispensabile per operare in sicurezza in un contesto digitale in continua evoluzione.

Se vi occorrono ulteriori informazioni o desiderate verificare il livello di sicurezza della vostra organizzazione, contattateci, il nostro team di professionisti è a disposizione per supportarvi nella gestione della privacy, della cybersecurity e della compliance aziendale.

Il ruolo cruciale del DPO: Obbligatorietà e raccomandazioni del Garante della Privacy

Il DPO (Data Protection Officer), o Responsabile della Protezione dei Dati, è una figura chiave nel panorama della privacy e protezione dei dati introdotta dal Regolamento Generale sulla Protezione dei Dati (GDPR) dell’Unione Europea. Sebbene il ruolo del DPO non sia obbligatorio per tutte le organizzazioni, il Garante per la protezione dei dati personali raccomanda fortemente la sua designazione come prassi di buona governance. In questo articolo, esploreremo le situazioni in cui la nomina è obbligatoria e discuteremo le ragioni per cui anche le organizzazioni non obbligate dovrebbero considerare di avvalersi di un DPO.

Quando è obbligatorio nominare un DPO?

Il GDPR specifica chiaramente i casi in cui la nomina di un DPO diventa un requisito obbligatorio. Questi includono:

Autorità pubbliche e enti pubblici: Ogni autorità pubblica o ente pubblico, ad eccezione dei tribunali che agiscono in capacità giurisdizionale, deve nominare un DPO. Questo riflette il volume significativo e la natura sensibile dei dati trattati da queste entità.
Organizzazioni che effettuano monitoraggi regolari e sistematici: Se un’organizzazione effettua il monitoraggio regolare e sistematico di individui su larga scala, la nomina è obbligatoria. Questo criterio si applica tipicamente alle aziende che operano nel settore tecnologico, come quelle che gestiscono piattaforme online o sviluppano tecnologie di tracciamento.
Enti che trattano categorie particolari di dati personali su larga scala: Se un’organizzazione tratta dati sensibili, come informazioni relative alla salute, dati genetici, orientamento sessuale, opinioni politiche, credenze religiose o filosofiche, su larga scala, è necessario nominare un DPO. Questo include anche il trattamento di dati relativi a condanne penali e reati.

Funzioni e responsabilità del DPO

Il DPO svolge un ruolo cruciale nell’assicurare che l’organizzazione rispetti le leggi sulla protezione dei dati. Le sue principali funzioni includono:

Informare e consigliare l’organizzazione e il personale sulle obbligazioni imposte dal GDPR e altre normative sulla protezione dei dati.
Monitorare la conformità alla normativa, inclusa l’assegnazione delle responsabilità, la sensibilizzazione e la formazione del personale, e le relative verifiche.
Fornire un punto di contatto per le autorità di controllo per tutte le questioni relative al trattamento dei dati, nonché per gli interessati per tutte le questioni relative alla privacy e al trattamento dei loro dati personali.

La raccomandazione del Garante della Privacy

Nonostante il GDPR non richieda la designazione di un DPO in tutte le organizzazioni, il Garante della Privacy consiglia vivamente di considerare la nomina di questa figura. I vantaggi di avere un DPO includono:

Migliore conformità normativa: Aiuta a navigare la complessità del GDPR e altre leggi sulla privacy, riducendo il rischio di violazioni dei dati e le conseguenti sanzioni.
Rafforzamento della fiducia e della credibilità: Un DPO può aumentare la fiducia dei clienti e delle altre parti interessate dimostrando un impegno concreto nella protezione dei dati personali.
Gestione proattiva dei rischi: Il DPO gioca un ruolo essenziale nell’identificare e mitigare i rischi legati al trattamento dei dati, promuovendo pratiche sicure all’interno dell’organizzazione.

Conclusione

La nomina di un DPO è obbligatoria solo sotto specifiche condizioni dettate dal GDPR, ma il suo valore va oltre la semplice conformità legale. Il DPO è una risorsa essenziale per qualsiasi organizzazione che prende seriamente la protezione dei dati personali. Pertanto, anche le organizzazioni non obbligate a nominare un DPO dovrebbero considerare i benefici di avere un esperto in materia che possa fornire consulenza e supervisione continua in questo campo in evoluzione.

Se avete bisogno di ulteriori chiarimenti e volete scoprire se la vostra retribuzione è sufficiente, non esitate a contattarci lasciando i vostri dati sul nostro sito, così da venire richiamati!

Nuove Norme per le Rievocazioni Storiche e il Patrimonio Culturale Immateriale: Analisi della Legge 7 ottobre 2024, n. 152

La Legge n. 152 del 7 ottobre 2024, entrata in vigore il 1° novembre, introduce disposizioni innovative riguardanti le rievocazioni storiche e la salvaguardia del patrimonio culturale immateriale in Italia. Questo provvedimento rappresenta un passo significativo verso la valorizzazione delle tradizioni storiche e delle espressioni culturali non materiali, mirando a rafforzare la tutela e la promozione del patrimonio culturale nazionale e locale. Vediamo nel dettaglio le principali disposizioni introdotte dalla legge.

Riconoscimento delle Rievocazioni Storiche

Il nuovo quadro normativo riconosce le rievocazioni storiche come parte integrante del patrimonio culturale italiano, sottolineando il loro valore educativo e socio-culturale. La legge definisce le rievocazioni come rappresentazioni sceniche che mirano a salvaguardare e valorizzare la memoria storica di un territorio. Queste manifestazioni, che si basano su ricostruzioni fedeli di eventi e periodi storici attraverso l’utilizzo di costumi, armi, armature e oggetti d’epoca, sono riconosciute come espressioni significative per la comunità e la cultura locale.

La legge stabilisce che le rievocazioni storiche devono avere una durata continuativa di almeno cinque anni e integrare attività di ricerca storica e culturale. Questo criterio punta a garantire un livello minimo di autenticità e di qualità nelle rappresentazioni, consolidandone il ruolo come veicolo di trasmissione culturale e di valorizzazione turistica.

Istituzione dell’Elenco Nazionale

Un’importante novità è l’istituzione di un elenco nazionale degli enti e delle manifestazioni di rievocazione storica, gestito dal Ministero della Cultura. Questo elenco, disponibile online, ha lo scopo di raccogliere e riconoscere le realtà più rilevanti nel panorama delle rievocazioni storiche italiane. Il riconoscimento nell’elenco consentirà agli enti di accedere a finanziamenti e supporto per l’organizzazione degli eventi.

Con un decreto del Ministro della Cultura saranno definiti i criteri di iscrizione e gestione dell’elenco, in collaborazione con il Ministero del Turismo e previa consultazione con la Conferenza Unificata. Questo processo normativo garantisce un approccio strutturato e coordinato alla valorizzazione delle rievocazioni storiche, con la possibilità di rafforzare il turismo culturale e la promozione del territorio.

Sostegno e Finanziamenti

La legge prevede l’erogazione di finanziamenti destinati agli enti che organizzano rievocazioni storiche, al fine di sostenere economicamente tali attività. Il supporto economico comprende anche la possibilità di utilizzare fondi pubblici per la valorizzazione del turismo culturale e delle manifestazioni che si svolgono in siti di interesse archeologico e culturale. La legge riconosce così l’importanza delle rievocazioni storiche non solo come attività culturale, ma anche come leva per lo sviluppo economico e turistico delle aree coinvolte.

Gli enti di rievocazione potranno inoltre collaborare con istituti scolastici, università e altre istituzioni culturali per promuovere iniziative educative e didattiche che favoriscano la conoscenza della storia locale e nazionale.

Uso di Armi Storiche e Fuochi durante le Manifestazioni

Un aspetto rilevante della nuova normativa riguarda la regolamentazione dell’uso di armi storiche e l’accensione di fuochi durante le rievocazioni. In particolare, è consentito l’uso di armi fabbricate prima del 1950 e delle loro repliche, purché si utilizzino cartucce a salve e si ottenga l’autorizzazione dall’autorità locale di pubblica sicurezza. Analogamente, l’accensione di falò durante le manifestazioni è regolamentata per garantire la sicurezza pubblica, con specifiche deroghe rispetto alle normative ambientali ordinarie.

Salvaguardia del Patrimonio Culturale Immateriale

La legge affronta anche la tutela del patrimonio culturale immateriale, definito come l’insieme delle pratiche, delle espressioni, delle conoscenze e delle tradizioni che le comunità riconoscono come parte del proprio patrimonio culturale. Viene riconosciuta l’importanza di preservare e trasmettere alle future generazioni queste tradizioni, garantendo la partecipazione attiva delle comunità locali.

La delega al Governo per l’emanazione di decreti legislativi mira a definire una disciplina organica in conformità con le convenzioni internazionali, in particolare la Convenzione UNESCO del 2003 sulla salvaguardia del patrimonio culturale immateriale. La normativa intende promuovere la diversità culturale, incoraggiare il dialogo interculturale e favorire la partecipazione delle giovani generazioni alla vita culturale del Paese.

Implicazioni per il Settore Legale e Culturale

Questa legge rappresenta un’importante evoluzione nella regolamentazione delle rievocazioni storiche e nella tutela del patrimonio immateriale, con potenziali implicazioni legali per gli enti organizzatori. Gli avvocati specializzati in diritto culturale e amministrativo dovranno essere pronti a supportare i clienti nell’ottenimento di riconoscimenti ufficiali, nell’accesso ai finanziamenti e nella gestione delle autorizzazioni per l’uso di armi storiche.

La nuova normativa offre anche opportunità per il settore culturale, permettendo una maggiore valorizzazione delle manifestazioni storiche e delle tradizioni locali, con effetti positivi sulla promozione turistica e sullo sviluppo economico delle comunità coinvolte.

Conclusioni

La Legge n. 152/2024 segna un passo avanti significativo nella protezione e valorizzazione del patrimonio culturale italiano. Le rievocazioni storiche, già parte della ricca tradizione culturale del Paese, vengono ora riconosciute come elementi essenziali della memoria collettiva, con un potenziale di sviluppo turistico ed economico. La regolamentazione delle manifestazioni, insieme alla tutela del patrimonio immateriale, rappresenta una risposta concreta alla necessità di salvaguardare le tradizioni e promuovere un’identità culturale condivisa.

Se tu o la tua azienda avete bisogno di ulteriori chiarimenti, però, non esitate a contattarci lasciando i vostri dati sul nostro sito di studio, così da venire richiamati!

NIS2: Il calendario degli adempimenti per le imprese

Con la pubblicazione del decreto di recepimento della Direttiva NIS2 nella Gazzetta Ufficiale, l’Italia si allinea alle nuove disposizioni europee volte a rafforzare la sicurezza informatica a livello nazionale ed europeo. La Direttiva NIS2 rappresenta un’evoluzione significativa della precedente Direttiva NIS, con l’obiettivo di elevare il livello di protezione contro le minacce informatiche che colpiscono infrastrutture critiche, servizi essenziali e settori strategici.

Tempistiche Chiare per un Adeguamento Graduale

Una delle principali criticità riscontrate in questi mesi è stata la diffusione di informazioni errate o fuorvianti sulle scadenze per l’implementazione della Direttiva NIS2. Molti hanno ritenuto, erroneamente, che tutti gli obblighi della direttiva dovessero essere soddisfatti entro il 17 ottobre 2024. Tuttavia, la realtà è ben diversa: il decreto di recepimento italiano prevede una serie di atti normativi e amministrativi che renderanno operativi gli obblighi nel tempo, con scadenze dilazionate.

Di fatto, per molte delle misure più impattanti, come la notifica degli incidenti e l’adozione di specifiche misure di sicurezza, è prevista l’emanazione di ulteriori regolamenti entro sei mesi dall’entrata in vigore del decreto. Alcuni obblighi, addirittura, non diventeranno effettivi prima di 18 mesi. Pertanto, è fondamentale per le aziende e le pubbliche amministrazioni monitorare attentamente l’evoluzione normativa per pianificare l’adeguamento nei tempi previsti.

Le Scadenze Chiave: Un Calendario degli Obblighi

Per aiutare i soggetti interessati a comprendere meglio il calendario degli adempimenti previsti dal decreto di recepimento della Direttiva NIS2, ecco una sintesi delle principali scadenze:

Entro il 31 dicembre 2024: Entro questa data, aziende e pubbliche amministrazioni dovranno condurre un’analisi interna per determinare se rientrano tra i soggetti soggetti agli obblighi della Direttiva NIS2. Questo processo di assessment dovrà essere condotto seguendo quanto stabilito dagli articoli 6 e 7 del decreto e gli allegati pertinenti. L’obiettivo è identificare quali organizzazioni devono attuare le misure di sicurezza richieste.
Dal 1° gennaio al 28 febbraio 2025: I soggetti che, a seguito dell’assessment, ritengono di essere coperti dal decreto dovranno registrarsi sulla piattaforma digitale messa a disposizione dall’Agenzia per la Cybersicurezza Nazionale (ACN). La registrazione richiede l’inserimento di informazioni dettagliate sulla natura dell’attività e l’ambito di applicazione.
Entro il 17 gennaio 2025: Alcuni fornitori specifici, tra cui quelli di servizi di cloud computing, data center, distribuzione di contenuti, social network e motori di ricerca, dovranno registrarsi entro questa data per essere conformi alle disposizioni del decreto.
Entro il 31 marzo 2025: L’ACN completerà la redazione dell’elenco dei soggetti considerati “essenziali” o “importanti” in base alle registrazioni effettuate.
Tra il 1° e il 15 aprile 2025: L’ACN comunicherà ai soggetti registrati la loro inclusione nell’elenco dei soggetti essenziali o importanti.
Entro il 15 aprile 2025: I soggetti inclusi nell’elenco dovranno nominare un responsabile incaricato di garantire il rispetto degli obblighi previsti dalla normativa.
Tra il 15 aprile e il 31 maggio 2025: I soggetti interessati dovranno fornire ulteriori informazioni richieste dalla normativa tramite la piattaforma dell’ACN.

Una volta completata la fase preliminare di registrazione e nomina dei responsabili, le aziende e le amministrazioni pubbliche dovranno prepararsi per altri adempimenti futuri. Tra questi:

Dal 1° gennaio 2026: Inizia l’obbligo di notifica degli incidenti di sicurezza. Le aziende dovranno segnalare tempestivamente eventuali eventi di cyberattacco che potrebbero compromettere i loro sistemi o dati.
Entro il 1° ottobre 2026: Saranno pienamente operativi gli obblighi in capo agli organi direttivi delle organizzazioni, nonché l’adozione delle misure di sicurezza informatica e la creazione e gestione di una banca dati per la registrazione dei nomi di dominio, ove applicabile.

Pianificazione e Monitoraggio: Le Parole Chiave per un Adeguamento di Successo

Alla luce di questo schema temporale, è chiaro che, sebbene gli obblighi previsti dalla Direttiva NIS2 siano stringenti, c’è ancora tempo per adeguarsi in maniera efficace. La priorità per le aziende e le pubbliche amministrazioni dovrebbe essere quella di pianificare con attenzione le attività necessarie, assicurandosi di seguire il calendario delle scadenze e di restare informati sugli ulteriori atti normativi che saranno emanati.

Il panorama normativo della cybersicurezza è in continua evoluzione, e la Direttiva NIS2 rappresenta un passo importante per garantire un livello di sicurezza omogeneo e adeguato alle crescenti minacce globali. Tuttavia, non è il momento per allarmismi: con una gestione oculata e un approccio metodico, l’adeguamento può essere portato avanti senza eccessivi oneri o interruzioni per le attività quotidiane.

Se tu o la tua azienda avete bisogno di ulteriori chiarimenti, però, non esitate a contattarci lasciando i vostri dati sul nostro sito di studio, così da venire richiamati!

Cosa Succede ai Tuoi Dati Dopo la Morte? La morte digitale: Un viaggio nella privacy post-mortem

Cosa succede ai tuoi dati dopo la morte? La morte digitale: Un viaggio nella privacy post-mortem

Nell’era digitale, la nostra identità virtuale sopravvive anche dopo la nostra morte. La morte digitale è un fenomeno sempre più rilevante nell’era tecnologica: mentre il nostro corpo scompare, i nostri dati continuano a esistere online, spesso senza un controllo definito. Account social, email, archivi cloud e abbonamenti digitali rimangono attivi, sollevando interrogativi su chi possa gestirli e su come garantire il rispetto della nostra volontà anche dopo la vita. Ma cosa accade realmente ai nostri dati quando non ci siamo più? Chi può accedervi? E come possiamo prepararci per gestire questo aspetto della nostra eredità digitale? In questo articolo esploreremo il tema della privacy post-mortem, analizzando le normative esistenti, le policy delle principali piattaforme online e le soluzioni per proteggere i propri dati anche dopo il decesso.

La Legislazione sulla Privacy Dopo la Morte – la morte digitale

Le leggi sulla protezione dei dati personali variano da paese a paese, ma in molti casi non regolano esplicitamente cosa accade dopo la morte. Nel Regolamento Generale sulla Protezione dei Dati (GDPR), ad esempio, i diritti sulla protezione dei dati sono generalmente riservati alle persone fisiche in vita, lasciando spazio a normative nazionali per la gestione post-mortem.

In Italia, l’articolo 2-terdecies del Codice Privacy stabilisce che i diritti relativi ai dati personali di una persona deceduta possono essere esercitati da soggetti terzi, come eredi o delegati, salvo diverse disposizioni esplicite lasciate dal defunto. Questo implica che chiunque voglia proteggere i propri dati digitali dopo la morte dovrebbe predisporre istruzioni precise in vita.

Cosa Succede ai Tuoi Account Digitali?

Ogni piattaforma online ha regole diverse per la gestione degli account di utenti deceduti:

Facebook permette ai familiari di trasformare un account in “profilo commemorativo” o di richiederne la rimozione.
Google offre la possibilità di impostare un “gestore account inattivo”, che può decidere cosa fare dei dati dopo un periodo di inattività.
Apple ha introdotto la figura del “contatto erede”, consentendo a una persona designata di accedere ai dati dell’account dopo la morte.
LinkedIn e Twitter permettono la richiesta di rimozione dell’account, previa verifica del decesso.

Soluzioni per Proteggere i Propri Dati Dopo la Morte

Per garantire una corretta gestione della propria eredità digitale, ecco alcune soluzioni pratiche:

1. Redigere un Testamento Digitale: Specificare in un documento legale chi dovrà gestire i propri account e come dovranno essere trattati.
2. Utilizzare il Gestore Account Inattivo di Google: Un’opzione che consente di designare un erede per i propri dati.
3. Designare un Contatto Erede su Apple: Permette a una persona fidata di recuperare i dati dell’account.
4. Salvare le Credenziali in un Password Manager: Strumenti come 1Password o LastPass possono aiutare gli eredi a gestire gli account in modo sicuro.
5. Istruire gli Eredi su Come Richiedere la Rimozione degli Account: Informarli delle procedure necessarie per ciascuna piattaforma.

Conclusione

La privacy post-mortem è un tema sempre più rilevante in un mondo dominato dal digitale. Pianificare con attenzione la gestione della propria eredità digitale può evitare problemi legali e garantire che i propri dati vengano trattati nel rispetto delle proprie volontà. Se non hai ancora preso in considerazione questa questione, il momento migliore per farlo è ora!

Se vi occorrono altre informazioni, contattateci lasciando i vostri dati sul nostro sito di studio, così da venire richiamati!

Garante Privacy sanziona per uso illecito di geolocalizzazione: cosa bisogna sapere

Garante Privacy sanziona per uso illecito di geolocalizzazione:
Cosa bisogna sapere

Il Garante per la protezione dei dati personali ha recentemente irrogato una sanzione da 50.000 euro a seguito di un caso di trattamento illecito di dati personali tramite un sistema di geolocalizzazione aziendale. Il provvedimento, pubblicato il 16 gennaio 2025, rappresenta un importante richiamo per tutte le aziende che utilizzano strumenti di tracciamento satellitare per finalità organizzative, di sicurezza o tutela patrimoniale.

La vicenda

Il caso ha preso avvio a seguito del reclamo di un dipendente, il quale lamentava di non essere stato adeguatamente informato sull’uso dei sistemi di geolocalizzazione installati sui veicoli aziendali. Secondo l’indagine svolta dal Garante, l’informativa fornita risultava inadeguata e contenente errori, omettendo di rappresentare correttamente le modalità di trattamento dei dati, i tempi di conservazione e le garanzie previste.

Inoltre, il sistema di geolocalizzazione adottato forniva rilevazioni continuative, comprese le pause lavorative, con una conservazione dei dati per 180 giorni. Questo utilizzo è stato giudicato sproporzionato rispetto alle finalità dichiarate e in contrasto con i principi di minimizzazione e limitazione dei dati previsti dal GDPR.

Le violazioni accertate

Il Garante ha riscontrato le seguenti violazioni:

Violazione degli artt. 5, par. 1, lett. a), c), e), 13 e 88 del GDPR: i trattamenti non erano trasparenti, né limitati allo stretto necessario e l’informativa fornita ai dipendenti risultava inadeguata.
Violazione dell’art. 157 del Codice Privacy: non è stata fornita risposta nei tempi previsti alla richiesta di informazioni dell’Autorità.
Non conformità rispetto alle autorizzazioni dell’ITL: l’autorizzazione prevedeva un trattamento limitato e anonimizzato, mentre il sistema adottato consentiva un monitoraggio continuo.

Il provvedimento completo è consultabile sul sito ufficiale del Garante Privacy al seguente link: Provvedimento Garante Privacy 16 gennaio 2025.

Le sanzioni e le prescrizioni

La sanzione amministrativa pecuniaria di 50.000 euro è stata accompagnata dall’ordine di:

Predisporre un’informativa aggiornata, chiara e conforme agli obblighi di legge.
Adeguare il sistema di geolocalizzazione alle prescrizioni dell’autorizzazione ITL e ai principi di proporzionalità e minimizzazione dei dati.

Il Garante ha inoltre disposto la pubblicazione integrale del provvedimento sul proprio sito ufficiale, sottolineando la gravità della condotta.

Cosa devono fare le aziende per essere in regola

Questo provvedimento è un monito per tutte le aziende che usano sistemi di geolocalizzazione o tecnologie simili. È fondamentale:

Informare adeguatamente i dipendenti tramite informative complete e aggiornate ai sensi dell’art. 13 del GDPR.
Utilizzare i sistemi di geolocalizzazione solo per finalità specifiche, legittime e con modalità proporzionate.
Evitare il monitoraggio continuo e conservare i dati solo per il tempo strettamente necessario.
Verificare che i fornitori di servizi siano correttamente nominati responsabili del trattamento e rispettino le stesse garanzie.

Per un approfondimento sui corretti adempimenti privacy in azienda, è possibile consultare la sezione dedicata del Garante: Linee guida sul trattamento dei dati personali.

Se avete bisogno di ulteriori chiarimenti, non esitate a contattarci lasciando i vostri dati sul nostro sito, così da venire richiamati!

Il piano ispettivo del Garante Privacy per il primo semestre 2025: su cosa si concentreranno i controlli e cosa devono fare le imprese

Il Garante per la protezione dei dati personali ha pubblicato il piano delle attività ispettive per il primo semestre 2025. Si tratta di un documento strategico fondamentale per tutte le imprese, poiché indica chiaramente le aree di maggior interesse e i settori che saranno oggetto di controlli nei prossimi mesi. Sapere in anticipo su cosa si concentreranno le verifiche consente alle aziende di prepararsi, evitare sanzioni e rafforzare la propria compliance privacy.

Quali saranno i principali focus del Garante Privacy nel 2025

Secondo quanto pubblicato dal Garante Privacy (fonte ufficiale), il piano ispettivo si concentrerà su alcune aree sensibili:

Trattamento dei dati personali da parte di piattaforme online e app mobili: particolare attenzione sarà dedicata alle modalità di raccolta, gestione e conservazione dei dati tramite app e piattaforme digitali. Questo riguarda soprattutto cookie, profilazione, consenso informato e gestione delle informative privacy.
Controlli sul trattamento dei dati in ambito lavorativo e controllo a distanza dei dipendenti: un settore su cui il Garante ha già emesso provvedimenti significativi. Le imprese dovranno verificare di essere in regola con informative aggiornate, DPIA (valutazioni d’impatto), minimizzazione dei dati e rispetto dei limiti di conservazione.
Trattamenti di dati biometrici: verranno verificate la legittimità delle basi giuridiche utilizzate e l’adeguatezza delle misure di sicurezza per i sistemi che utilizzano impronte digitali, riconoscimento facciale o vocale.
Sanità e settore pubblico: particolare attenzione sarà posta sui trattamenti effettuati da enti pubblici e strutture sanitarie, soprattutto in relazione alla gestione delle cartelle cliniche elettroniche, alla telemedicina e alla protezione dei dati sensibili.
Attività di marketing e profilazione: il Garante effettuerà verifiche sulle modalità di gestione delle attività promozionali, con attenzione particolare al consenso, alla gestione delle liste di contatto e alle modalità di disiscrizione.
Conservazione dei dati e rispetto dei principi di minimizzazione: saranno analizzati i periodi di conservazione dei dati dichiarati nelle informative privacy e la coerenza con le effettive modalità operative aziendali.

Come prepararsi per affrontare i controlli

Alla luce di questo piano ispettivo, le imprese devono mettere in atto una serie di attività per tutelarsi e arrivare pronte ad eventuali controlli:

Aggiornare le informative privacy, assicurandosi che siano chiare, complete e coerenti con i trattamenti effettivamente svolti.
Verificare e, se necessario, aggiornare il registro dei trattamenti, includendo tutti i trattamenti previsti e aggiornando i riferimenti normativi.
Effettuare una DPIA (Data Protection Impact Assessment) per tutti i trattamenti che comportano rischi elevati, in particolare per il controllo a distanza dei lavoratori e i sistemi di videosorveglianza.
Monitorare i periodi di conservazione dei dati: i dati devono essere conservati solo per il tempo strettamente necessario e le tempistiche dichiarate devono corrispondere alla realtà.
Controllare la gestione dei cookie e del tracciamento online: il consenso deve essere libero, informato e revocabile in qualsiasi momento.
Formare dipendenti e collaboratori: la cultura della protezione dei dati deve essere condivisa in azienda, soprattutto per chi gestisce dati personali in modo diretto.

Perché è importante non sottovalutare il rischio ispettivo

Il Garante Privacy non solo ha poteri ispettivi diretti, ma può avvalersi anche della Guardia di Finanza – Nucleo Speciale Privacy – per effettuare controlli a sorpresa. Le sanzioni, in caso di violazioni, possono arrivare fino a 20 milioni di euro o al 4% del fatturato mondiale annuo. Oltre all’aspetto economico, una violazione può comportare gravi danni reputazionali e la pubblicazione sul sito ufficiale del Garante.

Conclusioni: un’opportunità per migliorare la compliance

Il piano ispettivo del Garante Privacy per il primo semestre 2025 non deve essere visto solo come un rischio, ma come un’occasione per fare il punto sulle proprie procedure, correggere eventuali carenze e allinearsi alle best practice in materia di protezione dei dati. Le aziende che si muoveranno per tempo potranno trasformare un obbligo normativo in un elemento di affidabilità e valore competitivo.

Affidarsi a un DPO certificato o a un consulente esperto in privacy può fare la differenza tra subire un controllo e gestirlo con tranquillità. Il momento per agire è adesso: la compliance non si improvvisa.

Se avete bisogno di ulteriori chiarimenti, non esitate a contattarci lasciando i vostri dati sul nostro sito, così da venire richiamati!

Controllo delle email aziendali dei dipendenti: equilibrio tra privacy e legittimo interesse del datore di lavoro

Il controllo delle email aziendali dei dipendenti è uno dei temi più delicati nel rapporto tra lavoratore e datore di lavoro. Da un lato, il lavoratore ha diritto alla riservatezza delle comunicazioni; dall’altro, il datore di lavoro ha il legittimo interesse a tutelare il patrimonio aziendale e monitorare la produttività dei propri collaboratori. Ma fino a che punto è lecito accedere alle email aziendali? Cosa dice la normativa e quali limiti devono essere rispettati?

Il diritto alla riservatezza della corrispondenza: un confine da interpretare

L’articolo 15 della Costituzione italiana garantisce l’inviolabilità della corrispondenza e di ogni altra forma di comunicazione. Tuttavia, la giurisprudenza nazionale tende a escludere le comunicazioni elettroniche aziendali da tale ambito, trattandosi di strumenti forniti dal datore per lo svolgimento dell’attività lavorativa.

Nonostante questo, la Corte europea dei diritti dell’uomo ha affrontato più volte il tema della sorveglianza sul luogo di lavoro. In particolare, nella nota sentenza Barbulescu vs Romania (CEDU, 5 settembre 2017, link al testo completo), ha stabilito che i datori di lavoro possono controllare l’utilizzo delle email aziendali da parte dei dipendenti solo se questi ultimi siano stati informati preventivamente della possibilità di tali controlli.

La Corte ha sottolineato che il controllo delle comunicazioni deve rispettare il principio di proporzionalità e garantire un giusto equilibrio tra l’interesse dell’azienda e i diritti del dipendente alla vita privata e alla corrispondenza (art. 8 CEDU). La sentenza ha avuto un forte impatto anche sulla prassi nazionale, inducendo le imprese a dotarsi di policy trasparenti e a curare con attenzione l’informativa resa ai lavoratori.

Il diritto del datore di lavoro al controllo

Il datore di lavoro, tuttavia, non è privo di strumenti di verifica. Esiste un legittimo interesse a proteggere il know-how aziendale, prevenire comportamenti illeciti, evitare abusi e monitorare l’efficienza delle risorse umane. In tale ottica, è lecito un controllo proporzionato e non invasivo, soprattutto quando si tratta di strumenti aziendali assegnati per lo svolgimento della prestazione lavorativa.

Il controllo delle email non rientra tra gli strumenti di cui all’art. 4 dello Statuto dei lavoratori

Un elemento di fondamentale importanza è che il controllo delle email aziendali non rientra nell’ambito di applicazione del secondo comma dell’art. 4 della Legge 300/1970 (Statuto dei lavoratori), in quanto non si tratta di un “impianto audiovisivo” o “strumento di controllo a distanza” in senso tecnico.

A tal proposito, è bene ricordare che l’articolo 4, comma 2, è stato modificato dal Jobs Act (d.lgs. n. 151/2015) e prevede che gli strumenti utilizzati dal lavoratore per rendere la prestazione possano essere impiegati anche per controlli difensivi. Tuttavia, per il controllo delle email si fa riferimento all’art. 88 del GDPR e all’art. 114 del Codice Privacy, nonché ai principi di proporzionalità, necessità e minimizzazione dei dati.

Il Garante per la protezione dei dati personali ha chiarito che il controllo della posta elettronica può essere effettuato solo nel rispetto di alcuni presupposti, tra cui l’adozione di policy aziendali chiare e la preventiva informazione ai lavoratori (Fonte: Garante Privacy).

Gli accorgimenti che deve adottare il datore di lavoro

Per rendere legittimo il controllo delle email aziendali, il datore di lavoro deve:

Adottare una policy aziendale che regoli l’uso degli strumenti informatici e della posta elettronica, definendo in modo chiaro le modalità d’uso, i divieti, le finalità dei controlli e i soggetti autorizzati.
Informare preventivamente i lavoratori, tramite informativa conforme all’art. 13 GDPR, sul fatto che le email possono essere oggetto di verifica, con indicazione delle finalità e delle modalità del trattamento.
Evitare controlli massivi o indiscriminati, privilegiando accertamenti mirati in caso di sospetti fondati su comportamenti scorretti o rischi concreti per la sicurezza aziendale.
Minimizzare i dati trattati, evitando di accedere a contenuti privati o irrilevanti rispetto alla finalità del controllo.
Conservare la documentazione relativa alla legittimità e proporzionalità dell’intervento, anche in vista di eventuali verifiche da parte del Garante.

In alcuni casi, è opportuno valutare la necessità di effettuare una DPIA (valutazione d’impatto) qualora il controllo delle comunicazioni possa comportare un rischio elevato per i diritti e le libertà dei lavoratori.

Assistenza per imprese e lavoratori

Il nostro studio è a disposizione per supportare sia i datori di lavoro nella redazione di policy e informative privacy adeguate, sia i lavoratori che desiderino comprendere i propri diritti in materia di riservatezza delle comunicazioni. Offriamo consulenza specialistica, formazione interna, supporto nella gestione di contenziosi e redazione di documentazione GDPR compliance.

Contattaci per un confronto riservato: possiamo aiutarti a tutelare i tuoi interessi nel rispetto della normativa.

Se avete bisogno di ulteriori chiarimenti, non esitate a contattarci lasciando i vostri dati sul nostro sito, così da venire richiamati!

Sorveglianza in azienda: limiti per il datore