Nella newsletter del 23 ottobre 2026 il Garante per la protezione dei dati personali ha dato conto di una serie di decisioni adottate il 7 ottobre. Messe in fila, raccontano tre errori molto comuni, che non riguardano solo banche e pubbliche amministrazioni: confondere i ruoli privacy fra aziende che collaborano, pubblicare documenti senza ripulirli e dimenticare che l'«errore in buona fede» non cancella la violazione. Le sanzioni sono modeste, ma il ragionamento del Garante è prezioso per chi gestisce dati ogni giorno.

Cosa è successo

Prestiti BancoPosta. Il Garante ha sanzionato Poste Italiane per 48.000 euro e Deutsche Bank per 33.000 euro (provvedimenti n. 746 e 747 del 7 ottobre 2026). Il caso nasce dal reclamo di una dipendente di Poste che, dopo il rifiuto di una richiesta di prestito, ha scoperto che i dati su reddito e impegni finanziari erano consultabili su una piattaforma accessibile a una parte del personale dell'azienda. L'istruttoria ha stabilito che le due società agivano come titolari autonomi del trattamento, contrariamente a quanto previsto dagli accordi fra loro: Poste raccoglieva le richieste e abbinava i prodotti, Deutsche Bank valutava il merito creditizio e decideva. Di conseguenza Poste non aveva informato adeguatamente i richiedenti sui destinatari e sui flussi di dati verso la banca, e Deutsche Bank non aveva indicato correttamente nella propria informativa Poste come destinatario e titolare autonomo. Entrambe hanno cancellato i dati della reclamante; Poste ha aggiornato l'informativa, mentre Deutsche Bank ha dato istruzioni al personale per limitare i dati personali e creditizi nelle comunicazioni sui prestiti e dovrà aggiornare l'informativa entro sei mesi.

AGID. Con ordinanza-ingiunzione dello stesso giorno, il Garante ha sanzionato l'Agenzia per l'Italia Digitale per 15.000 euro. Un candidato a una procedura concorsuale del 2021 ha chiesto la rimozione dei propri dati da un elenco pubblicato sul sito: nome, cognome e punteggio di quindici ammessi alla prova orale. Dopo l'avvio dell'istruttoria il documento è stato rimosso in poche ore, ma era rimasto online dal 2021 al 23 gennaio 2026. L'agenzia ha parlato di una «mera svista operativa» nella sostituzione del file con una versione anonima; la riteneva già avvenuta nel 2025. Il Garante ha ricordato che per i concorsi la normativa (d.lgs. 165/2001 e d.lgs. 33/2013) prevede la pubblicazione online delle sole graduatorie finali, mentre gli elenchi intermedi vanno messi a disposizione dei soli partecipanti in un'area riservata.

Università di Teramo. Sanzione di 4.000 euro all'ateneo per un caso diverso nella dinamica ma identico nella radice. L'ordine del giorno del consiglio di amministrazione, che al punto 8.3 riportava nome di un dipendente, Tribunale e numero di ruolo di una causa di lavoro, è stato inviato per posta elettronica a personale, Nucleo di valutazione e Consiglio degli studenti (circa 947 destinatari potenziali) e pubblicato sul sito, indicizzato dai motori di ricerca, dal 25 settembre al 14 ottobre 2025. Secondo l'ateneo, un errore umano in buona fede: non erano stati separati i documenti istruttori interni dall'estratto destinato alla pubblicazione. Il Garante ha precisato che, pur non trattandosi di dati particolari o giudiziari, anche numero di registro e Tribunale potevano consentire di risalire al lavoratore.

In entrambi i casi pubblici, le violazioni accertate riguardano i principi di liceità, correttezza e trasparenza e di minimizzazione (art. 5, par. 1, lett. a e c, GDPR), la base giuridica (art. 6) e l'art. 2-ter del Codice privacy, che richiede una norma di legge o di regolamento per la diffusione di dati da parte di soggetti pubblici. Né la rapida rimozione né la buona fede hanno escluso l'illiceità: hanno inciso soltanto sull'importo.

Cosa significa per le aziende italiane

Il valore di queste decisioni sta meno negli importi che nel metodo con cui il Garante legge i fatti. Tre considerazioni da consulente.

La prima riguarda la titolarità nelle filiere di servizio. Il caso Poste-Deutsche Bank mostra che il contratto non decide il ruolo privacy: lo decide la realtà operativa. Se un'azienda raccoglie le richieste e un'altra valuta e decide in autonomia, sono due titolari, a prescindere da come si chiama l'accordo. Lo stesso vale per intermediari assicurativi, agenzie di recruiting, reti di vendita, società di recupero crediti, fornitori di software che trattano dati per scopi propri. Ogni volta che un'informativa omette un destinatario o lo descrive con il ruolo sbagliato, il problema è di trasparenza (artt. 13 e 14), e il costo è una sanzione e la riscrittura delle informative.

La seconda riguarda l'accesso interno ai dati. Nel caso Poste, il punto più delicato dal punto di vista della sicurezza non è stato un attacco, ma una piattaforma consultabile da personale che non aveva necessità di vedere i dati finanziari di una collega. Il principio del minimo privilegio, in linguaggio tecnico, e la regola «need to know», in linguaggio organizzativo, sono misure richieste dall'art. 32 GDPR e, per i soggetti NIS2, dalle misure di controllo degli accessi. Chi gestisce CRM, gestionali di pratiche o piattaforme di istruttoria dovrebbe controllare periodicamente chi vede cosa, in particolare sui dati dei propri dipendenti.

La terza riguarda la pubblicazione di documenti: albo online, amministrazione trasparente, sezioni «lavora con noi», verbali, bandi. Il meccanismo dell'errore è sempre lo stesso: un file con informazioni interne finisce nella cartella pubblica, oppure la versione corretta sostituisce la prima ma resta raggiungibile con un indirizzo diretto o in cache. Il caso AGID mostra che l'incidente può durare anni senza che nessuno se ne accorga. Per le PMI private il quadro giuridico è diverso (non vale l'art. 2-ter, riservato ai soggetti pubblici), ma l'esposizione tecnica è identica, così come i principi di minimizzazione e di integrità e riservatezza.

C'è infine un elemento comune ai tre casi: nessuno dei tre è un incidente informatico in senso stretto, eppure sono tutte violazioni di dati personali. Una comunicazione a destinatari non autorizzati o una pubblicazione involontaria possono configurare un data breach da valutare ai sensi degli artt. 33 e 34 GDPR: occorre decidere, e documentare la decisione, se notificare entro 72 ore o se il rischio per gli interessati è improbabile. Registrare la valutazione nel registro delle violazioni è obbligatorio anche quando non si notifica.

Cosa fare subito

  • Rivedere le informative (artt. 13 e 14) mappando, per ogni servizio, chi raccoglie i dati, chi decide e a chi vengono comunicati; indicare ruoli e destinatari in modo coerente con la realtà operativa e non solo con il contratto.
  • Verificare i ruoli contrattuali con partner, intermediari e fornitori: titolare autonomo, contitolare o responsabile del trattamento, con gli accordi (art. 26 e art. 28) coerenti con il flusso reale dei dati.
  • Controllare i permessi di accesso alle piattaforme che contengono dati su dipendenti e clienti, riducendo gli accessi a chi ne ha effettiva necessità e conservando i log degli accessi.
  • Introdurre un controllo prima della pubblicazione di documenti online: una seconda persona verifica che il file contenga solo i dati necessari e che non ci siano metadati, allegati o revisioni precedenti.
  • Cercare cosa è già online: una ricerca periodica sul proprio dominio e sui motori di ricerca per nomi, codici fiscali e indirizzi può rivelare file dimenticati, come nel caso AGID.
  • Verificare la rimozione: dopo aver tolto un documento, controllare che non sia raggiungibile via URL diretto, cache o copie su altri servizi, e richiedere la rimozione dagli indici dei motori di ricerca.
  • Formalizzare la valutazione degli incidenti: una procedura breve che chiarisca quando una comunicazione errata va trattata come violazione dei dati, chi decide e come si documenta.

Questo articolo ha finalità informativa e non costituisce parere legale; per i casi specifici conviene consultare il proprio DPO o consulente e leggere i provvedimenti integrali sul sito del Garante.