Studio Legale Soccol

07/09/2026

– 𝐈𝐋 𝐆𝐀𝐑𝐀𝐍𝐓𝐄 𝐏𝐑𝐈𝐕𝐀𝐂𝐘 𝐒𝐈 𝐏𝐑𝐎𝐍𝐔𝐍𝐂𝐈𝐀 𝐒𝐔 𝐃𝐄𝐄𝐏𝐅𝐀𝐊𝐄 𝐄 𝐒𝐀𝐓𝐈𝐑𝐀

Con il provvedimento del 23 luglio 2026, il Garante Privacy è intervenuto su un tema destinato a diventare sempre più centrale: l’utilizzo dell’Intelligenza Artificiale per creare contenuti che riproducono l’immagine e la voce di persone reali. Nel caso esaminato, alcuni filmati trasmessi a Striscia la Notizia utilizzavano l’immagine del giornalista Enrico Mentana, alterata mediante sistemi di IA per fargli pronunciare dichiarazioni mai rese.

Pur riconoscendo che il trattamento rientrava nell’ambito della libertà di espressione e del diritto di , il Garante ha ritenuto che le modalità adottate non garantissero adeguatamente i principi di liceità, correttezza e trasparenza. In particolare, i sono stati giudicati insufficienti a rendere chiaramente percepibile al pubblico medio la natura artificiale dei contenuti, con il rischio di alimentare confusione e disinformazione.

L’Autorità ha quindi disposto il divieto di ulteriori trattamenti con le medesime modalità e ha adottato un ammonimento nei confronti dell’editore. Un provvedimento che evidenzia come, anche nell’ambito della satira, l’utilizzo dei deepfake richieda particolare attenzione alla tutela dell’identità personale e alla trasparenza verso gli utenti.

'); newWin.document.close(); newWin.addEventListener("load", function(){ // .... this.focus(); this.print(); this.close(); }); //newWin.print(); //newWin.close(); //newWin.document.close(); //setTimeout(function(){newWin.close();},10); }

03/09/2026

– 𝐈𝐋 𝐆𝐀𝐑𝐀𝐍𝐓𝐄 𝐏𝐑𝐈𝐕𝐀𝐂𝐘 𝐒𝐔𝐋 𝐒𝐄𝐍𝐓𝐈𝐌𝐄𝐍𝐓 𝐀𝐍𝐀𝐋𝐘𝐒𝐈𝐒 𝐃𝐄𝐈 𝐋𝐀𝐕𝐎𝐑𝐀𝐓𝐎𝐑𝐈 “𝐌𝐘𝐍𝐃𝐎𝐎𝐑”

Il ha avviato un’istruttoria su una start-up italiana che ha sviluppato “Myndoor”, un plug-in per le piattaforme di messaggistica aziendale Slack e Teams, finalizzato a rilevare il livello di psicologico dei e a fornire loro suggerimenti personalizzati. Il servizio è stato già acquistato da numerosi enti pubblici e privati.

Nello specifico, Myndoor, se attivato dall’utente, analizza i contenuti testuali dei messaggi inviati dall’interessato all’interno di Slack con un , rileva condizioni di potenziale stress e restituisce appositi suggerimenti. Tuttavia, gli enti che acquistano il servizio non hanno la possibilità di accedere ai dati degli utenti (ossia i lavoratori), i quali sono trattati direttamente e unicamente dalla società fornitrice del plug-in in qualità di titolare del trattamento.

Quello che l’ente acquirente può richiedere all’applicativo è invece un report contenente dati aggregati relativi ai livelli di stress nel contesto lavorativo dei propri dipendenti.

All’esito dell’istruttoria, il Garante, con il provvedimento del 14/05/2026, ha valutato positivamente l’impostazione privacy adottata dalla società, pur richiamando un principio fondamentale dell’ , secondo il quale è vietato l’uso di sistemi di IA per inferire le emozioni di una persona fisica nell’ambito del luogo di .

Sentiment analysis, AI e lavoro: il Garante Privacy avverte una start-up italiana fornitrice del plug-in che rileva lo stress dei dipendenti.

31/08/2026

– 𝐒𝐈𝐂𝐔𝐑𝐄𝐙𝐙𝐀 𝐒𝐔𝐋 𝐋𝐀𝐕𝐎𝐑𝐎 𝐄 𝐑𝐄𝐒𝐏𝐎𝐍𝐒𝐀𝐁𝐈𝐋𝐈𝐓𝐀̀ 𝐃𝐄𝐆𝐋𝐈 𝐄𝐍𝐓𝐈: 𝐈𝐋 𝐕𝐀𝐍𝐓𝐀𝐆𝐆𝐈𝐎 𝐃𝐄𝐋𝐋’𝐄𝐍𝐓𝐄 𝐏𝐔𝐎̀ 𝐃𝐈𝐏𝐄𝐍𝐃𝐄𝐑𝐄 𝐀𝐍𝐂𝐇𝐄 𝐃𝐀𝐋𝐋𝐀 𝐒𝐂𝐄𝐋𝐓𝐀 𝐃𝐄𝐋𝐋𝐀 𝐃𝐈𝐓𝐓𝐀 𝐀𝐏𝐏𝐀𝐋𝐓𝐀𝐓𝐑𝐈𝐂𝐄

Con la sentenza n. 28488 del 27 luglio 2026, la Quarta Sezione della Cassazione torna su uno dei temi più delicati della responsabilità degli enti per reati colposi in materia di e sul lavoro: il rapporto tra violazione delle regole prevenzionistiche e criterio del "vantaggio" ex D.Lgs. 231/2001.

Il caso trae origine da un mortale verificatosi durante lavori di pulizia della copertura di un capannone. La Suprema Corte ha confermato la responsabilità dell' , valorizzando il economico derivante dal mancato approntamento di adeguate misure di prevenzione del rischio di caduta dall'alto, dalla scelta di una ditta priva della necessaria qualificazione professionale, dall'affidamento dell'intervento attraverso modalità informali, idonee a contenere tempi e costi dell'operazione.

La Corte ha inoltre ritenuto irrilevante la circostanza per cui i costi dei presidi di sicurezza sarebbero stati formalmente a carico dell’impresa esecutrice, ritenendo che l'affidamento dei lavori ad operatori qualificati e l’esecuzione delle attività secondo le regola cautelari adeguate avrebbe inciso sul prezzo e sulla durata dell’intervento, con ricadute economiche dirette sulla committente.

Il vantaggio è stato quindi ritenuto integrato dal fatto che, in un intervento connotato da elevato rischio di caduta dall'alto, la rinuncia ai necessari presidi di sicurezza e l'impiego di un'impresa non adeguatamente attrezzata abbiano comportato per l'ente un beneficio economico tutt'altro che irrisorio.

Osservatorio per il monitoraggio permanente della legislazione e giurisprudenza sulla sicurezza del lavoro

24/08/2026

– 𝐂𝐎𝐍𝐒𝐄𝐑𝐕𝐀𝐙𝐈𝐎𝐍𝐄 𝐃𝐄𝐋𝐋𝐄 𝐄-𝐌𝐀𝐈𝐋 𝐀𝐙𝐈𝐄𝐍𝐃𝐀𝐋𝐈: 𝐈𝐋 𝐆𝐀𝐑𝐀𝐍𝐓𝐄 𝐒𝐀𝐍𝐙𝐈𝐎𝐍𝐀 𝐏𝐈𝐀𝐆𝐆𝐈𝐎

Il Garante per la protezione dei dati personali ( ) ha sanzionato Piaggio & C. S.p.A. per 460.000 euro per alcune violazioni relative alla gestione delle caselle di posta elettronica aziendale e al controllo dei dipendenti.

L’istruttoria, avviata in seguito ai reclami di due ex dipendenti, ha accertato che la società aveva acquisito numerose e-mail per verificare presunti comportamenti illeciti. Alcuni messaggi risalivano a circa due anni prima dell’insorgenza dei sospetti che avevano determinato gli accessi. Il sistema aziendale consentiva, inoltre, la raccolta e la conservazione sistematica dei dati relativi alla posta elettronica mediante backup effettuati per l’intera durata del rapporto di lavoro e mantenuti fino a cinque anni dopo la sua cessazione. I log erano invece conservati per sei mesi.

Secondo il Garante, tali modalità permettevano di ricostruire nel tempo l’attività dei lavoratori e potevano tradursi in un controllo a distanza, in assenza delle garanzie previste dalla normativa in materia di protezione dei dati personali e dallo Statuto dei lavoratori. L’Autorità ha inoltre contestato l’eccessiva durata della conservazione e le carenze nelle informazioni fornite ai dipendenti.

'); newWin.document.close(); newWin.addEventListener("load", function(){ // .... this.focus(); this.print(); this.close(); }); //newWin.print(); //newWin.close(); //newWin.document.close(); //setTimeout(function(){newWin.close();},10); }

30/07/2026

– 𝐃𝐀𝐓𝐀 𝐁𝐑𝐄𝐀𝐂𝐇 𝐄 𝐒𝐎𝐂𝐈𝐀𝐋 𝐄𝐍𝐆𝐈𝐍𝐄𝐄𝐑𝐈𝐍𝐆: 𝐈𝐋 𝐆𝐀𝐑𝐀𝐍𝐓𝐄 𝐒𝐀𝐍𝐙𝐈𝐎𝐍𝐀 𝐖𝐈𝐍𝐃 𝐓𝐑𝐄

Con il provvedimento del 14 maggio 2026, il per la Protezione dei Dati Personali ha sanzionato Wind Tre con una multa di oltre 1,7 milioni di euro a seguito di due episodi di data breach originati da attacchi di social engineering ai danni di punti vendita della rete commerciale.

Gli attaccanti, fingendosi operatori di assistenza tecnica, sono riusciti a ottenere l’accesso ai sistemi e a consultare dati personali di centinaia di migliaia di clienti, compresi, per una parte di essi, dati relativi ai metodi di pagamento.

Wind Tre ha sostenuto di aver già adottato numerose misure di , tra cui autenticazione multifattore, firewall, sistemi CAPTCHA e attività periodiche di vulnerability assessment. Tuttavia, il Garante ha ritenuto tali misure non sufficienti rispetto ai rischi concreti del trattamento. Secondo l’Autorità, una corretta gestione delle credenziali e dei certificati digitali costituisce una misura organizzativa essenziale ai sensi dell’art. 32 GDPR. Il titolare avrebbe dovuto garantire l’utilizzo di sistemi di conservazione sicura delle credenziali, come password manager, procedure formalizzate di gestione del ciclo di vita dei certificati e ulteriori fattori di autenticazione idonei a limitare gli effetti di eventuali attacchi di social engineering.

Il Garante ha inoltre evidenziato che assessment e pe*******on test devono essere concretamente calibrati sull’effettiva superficie di attacco dell’applicazione. Le API esposte, infatti, avrebbero dovuto essere sottoposte a verifiche più approfondite e protette mediante adeguati meccanismi di rate limiting e controllo delle richieste massive.

27/07/2026

Lo Studio Legale Soccol è lieto di condividere l'iniziativa formativa promossa da UniSMART - Fondazione Università di Padova dedicata al trattamento dei dati personali.

Il corso sarà tenuto dall'Avv. Lorenzo Balestra e offrirà una panoramica concreta e operativa della normativa privacy, andando oltre i luoghi comuni che spesso caratterizzano il GDPR. Saranno affrontati non solo gli aspetti normativi, ma anche esempi concreti e reali.

L'obiettivo è comprendere come la disciplina sulla protezione dei dati funzioni realmente nella pratica quotidiana e come possa diventare strumento di tutela e valorizzazione dell’organizzazione.

Ringraziamo UniSMART - Fondazione Università di Padova per la fiducia accordata e per l'impegno nella promozione di una cultura della protezione dei dati sempre più consapevole e concreta.

20/07/2026

– 𝐔𝐍 𝐒𝐎𝐋𝐎 𝐂𝐀𝐑𝐓𝐄𝐋𝐋𝐎 𝐏𝐄𝐑 𝐒𝐄𝐆𝐍𝐀𝐋𝐀𝐑𝐄 𝐏𝐈𝐔̀ 𝐓𝐄𝐋𝐄𝐂𝐀𝐌𝐄𝐑𝐄 𝐃𝐈 𝐕𝐈𝐃𝐄𝐎𝐒𝐑𝐎𝐕𝐄𝐆𝐋𝐈𝐀𝐍𝐙𝐀 𝐍𝐎𝐍 𝐄̀ 𝐒𝐔𝐅𝐅𝐈𝐂𝐈𝐄𝐍𝐓𝐄 𝐀𝐈 𝐒𝐄𝐍𝐒𝐈 𝐃𝐄𝐋 𝐆𝐃𝐏𝐑

Il Garante Privacy, con il provvedimento n. 167/2026 ha sanzionato una società di ristorazione per una gestione non conforme delle installate nei propri locali.

Il provvedimento richiama in particolare i principi generali del GDPR, tra cui quello di trasparenza (art. 5, par. 1, lett. a) e quello dell’art. 13 riguardante le informazioni da rendere agli . Nel caso esaminato, la presenza di un unico cartello, peraltro non collocato in modo da coprire tutte le aree sorvegliate, è stata ritenuta insufficiente a garantire una effettiva.

Il Garante ha messo in evidenza come l’obbligo di trasparenza necessiti della predisposizione e messa in opera di idonei cartelli di "informativa minima", affinché gli interessati siano resi “consapevoli del fatto che è in funzione un sistema di videosorveglianza” prima di entrare nel perimetro di ripresa delle telecamere. Le informazioni più importanti, relative a finalità del trattamento, identità del titolare del trattamento ed esistenza dei dell’interessato devono essere indicate mediante cartelli visibili a tutti e collocati ad altezza delle persone.

Altro profilo critico attiene alla liceità del trattamento. L’impianto risultava già operativo prima del rilascio dell’autorizzazione dell’Ispettorato del lavoro dovuta ai sensi dell’art. 4 della Legge 300/1970, determinando una violazione del principio citato.

Viola la privacy dei lavoratori l’impianto di videosorveglianza segnalato da un solo cartello informativo per più ambienti, con accesso alle immagini senza

17/07/2026

– 𝐀𝐂𝐍 𝐅𝐎𝐑𝐍𝐈𝐒𝐂𝐄 𝐂𝐇𝐈𝐀𝐑𝐈𝐌𝐄𝐍𝐓𝐈 𝐒𝐔𝐆𝐋𝐈 𝐎𝐁𝐁𝐋𝐈𝐆𝐇𝐈 𝐃𝐄𝐆𝐋𝐈 𝐎𝐑𝐆𝐀𝐍𝐈 𝐃𝐈 𝐀𝐌𝐌𝐈𝐍𝐈𝐒𝐓𝐑𝐀𝐙𝐈𝐎𝐍𝐄 𝐄 𝐃𝐈𝐑𝐄𝐓𝐓𝐈𝐕𝐈 𝐃𝐄𝐈 𝐒𝐎𝐆𝐆𝐄𝐓𝐓𝐈 𝐍𝐈𝐒

L'Agenzia per la Cybersicurezza Nazionale (ACN) ha aggiornato le FAQ relative agli obblighi degli organi di e direttivi dei .

Con riferimento alle responsabilità degli organi di amministrazione, è confermato che l'approvazione dei documenti previsti dall'art. 23 del decreto NIS costituisce una competenza esclusiva dell'organo collegiale o, ove previsto, dell'organo monocratico e non può essere delegata. Rimane invece delegabile lo svolgimento delle attività necessarie all'attuazione operativa degli obblighi previsti dalla normativa.

I documenti da sottoporre all’approvazione degli organi di amministrazione devono definire gli indirizzi e la pianificazione strategica delle misure di sicurezza. La documentazione di natura tecnica e operativa (ad es., procedure, manuali) può essere predisposta e aggiornata dalle strutture competenti senza necessità di approvazione da parte degli organi di governo.

ACN chiarisce, inoltre, che i soggetti NIS possono organizzare la documentazione secondo le modalità ritenute più idonee, sia mediante un unico documento sia attraverso un insieme di documenti tra loro coordinati.

L'Agenzia per la Cybersicurezza Nazionale ha pubblicato nuovi chiarimenti interpretativi sulla governance prevista dalla normativa NIS 2, con l'obiettivo di agevolarne l'applicazione da parte dei soggetti interessati

13/07/2026

– 𝐈𝐍 𝐂𝐎𝐍𝐒𝐔𝐋𝐓𝐀𝐙𝐈𝐎𝐍𝐄 𝐏𝐔𝐁𝐁𝐋𝐈𝐂𝐀 𝐋𝐄 𝐋𝐈𝐍𝐄𝐄 𝐆𝐔𝐈𝐃𝐀 𝐃𝐄𝐋𝐋’𝐄𝐃𝐏𝐁 𝐒𝐔𝐋𝐋’𝐀𝐍𝐎𝐍𝐈𝐌𝐈𝐙𝐙𝐀𝐙𝐈𝐎𝐍𝐄 𝐃𝐄𝐈 𝐃𝐀𝐓𝐈 𝐏𝐄𝐑𝐒𝐎𝐍𝐀𝐋𝐈

Le linee guida dell’European Data Protection Board ( ) n. 2/2026 mirano a chiarire la nozione di e offrono un sistema per valutare se i dati trattati siano effettivamente anonimi o siano dati personali.

Sulla scia della giurisprudenza europea, le linee guida confermano un cambio di paradigma rispetto all’interpretazione fino a poco tempo fa maggioritaria: l’anonimizzazione va analizzata dal punto di vista dei soggetti che utilizzano i dati, motivo per cui un dataset può essere anonimo per alcuni, ma non per altri. Tuttavia, si tratta di un accertamento tutt’altro che semplice nella pratica, soprattutto alla luce delle tecniche di correlazione e inferenza sempre più evolute.

Le linee guida propongono due approcci per portare avanti la valutazione: da una parte il , che tiene in considerazione tutti i soggetti coinvolti, dall’altra un approccio semplificato, che si focalizza sul soggetto che sta effettuando l’analisi. I due approcci possono anche essere tra loro combinati.

La metodologia di analisi proposta si fonda su tre criteri: impossibilità di isolare un individuo, impossibilità di collegare i dati ad altre fonti e impossibilità di ricavare informazioni attraverso inferenze. Se tutti e tre i criteri sono rispettati, il dato si può considerare anonimo; in caso negativo, devono essere portate avanti ulteriori valutazioni.

Le linee guida sono in fino al 30 ottobre 2026.

The European Data Protection Board welcomes comments on the Guidelines 02/2026 on Anonymisation.Such comments should be sent on 30 October 2026 at the latest using the provided form.

03/07/2026

– 𝐏𝐔𝐁𝐁𝐋𝐈𝐂𝐀𝐓𝐎 𝐈𝐋 𝐃𝐄𝐂𝐑𝐄𝐓𝐎 𝐋𝐄𝐆𝐈𝐒𝐋𝐀𝐓𝐈𝐕𝐎 𝐒𝐔𝐋𝐋𝐀 𝐏𝐑𝐄𝐕𝐄𝐍𝐙𝐈𝐎𝐍𝐄 𝐄 𝐋𝐀 𝐑𝐄𝐏𝐑𝐄𝐒𝐒𝐈𝐎𝐍𝐄 𝐃𝐄𝐋𝐋𝐀 𝐓𝐑𝐀𝐓𝐓𝐀 𝐃𝐈 𝐄𝐒𝐒𝐄𝐑𝐈 𝐔𝐌𝐀𝐍𝐈

È stato pubblicato in Gazzetta Ufficiale il D. lgs. n. 115/2026, recante “Attuazione della direttiva (UE) 2024/1712 del Parlamento europeo e del Consiglio, del 13 giugno 2024, che modifica la direttiva 2011/36/UE concernente la prevenzione e la repressione della di esseri umani e la protezione delle vittime”.

Sono modificati gli artt. 600 (riduzione o mantenimento in o servitù), 601 (tratta di persone) e 602-ter (circostanze aggravanti) del codice penale. Inoltre, è introdotto un nuovo reato all’art. 601.1, rubricato “Approfittamento della vittima di riduzione in schiavitù o di tratta”, che punisce, salvo che il fatto non costituisca più grave reato, “chiunque sfrutta le prestazioni di chi sa essere vittima dei reati di cui agli articoli 600 e 601”.

Ai sensi dell’art. 13 del decreto citato, il nuovo reato di cui all’art. 601.1 c.p. è integrato anche all’interno del d. lgs. 231/2001, nell’ambito dell’art. 25-quinquies del d. lgs. 231/2001 tra i delitti contro la personalità individuale.