Con l'ingresso nella seconda metà del 2026 e il recente raggiungimento di snodi normativi cruciali a livello europeo, l'attività di controllo del Garante per la protezione dei dati personali entra in una fase di evoluzione. Il piano programmatico approvato dall'Autorità lo scorso 30 dicembre aveva fissato per il primo semestre almeno quaranta accertamenti d'iniziativa, condotti in stretta sinergia con il Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza; i mesi estivi segnano il passaggio a nuove e più stringenti priorità di controllo.
Le novità della seconda metà del 2026: il fattore intelligenza artificiale
A fare da spartiacque è la piena operatività dei principali pilastri del Regolamento europeo sull'intelligenza artificiale. L'integrazione tra la disciplina sulla protezione dei dati personali e le nuove regole sull'IA sposta il baricentro dell'attività ispettiva su ambiti ad altissimo contenuto tecnologico:
- Sistemi ad alto rischio e profilazione: l'attenzione dell'Autorità si concentra sui sistemi di intelligenza artificiale impiegati nella selezione del personale, nella valutazione del merito creditizio e nella gestione delle risorse umane.
- Obblighi di trasparenza: sotto scrutinio la correttezza dell'informazione resa agli utenti che interagiscono con assistenti virtuali, agenti conversazionali e sistemi di IA generativa.
- Tecnologie avanzate e grandi volumi di dati: proseguono le verifiche sulle tecniche di pseudonimizzazione e sulla gestione dei grandi volumi di dati da parte degli operatori di telecomunicazioni, in conformità agli indirizzi della Corte di giustizia dell'Unione europea.
Il quadro consolidato: dalle violazioni dei dati al telemarketing
Le nuove direttrici d'indagine si affiancano al presidio costante che l'Autorità continua a mantenere sui settori storicamente più esposti a violazioni:
- Violazioni dei dati personali e resilienza informatica: permane la massima severità sul rispetto del termine tassativo delle 72 ore per la notifica degli incidenti e sull'adeguatezza delle misure tecniche di sicurezza.
- Canali interni di segnalazione: prosegue la verifica di conformità delle piattaforme di segnalazione aziendale al D.Lgs. 24/2023, con particolare riguardo alla riservatezza dei dati della persona segnalante.
- Telemarketing aggressivo e sanità: restano sotto osservazione il settore energetico, fonte primaria di segnalazioni da parte dei cittadini, e la gestione dei dati sanitari nei dossier sanitari elettronici.
Iniziative europee e orientamenti sanzionatori
I primi mesi del 2026 hanno già mostrato un'azione sanzionatoria particolarmente incisiva, con provvedimenti legati a carenze nelle misure di sicurezza, a tardività nelle comunicazioni delle violazioni dei dati e a irregolarità nelle prassi di valutazione del merito creditizio. Vi si aggiunge la recente adozione di indicazioni rigorose sull'impiego dei pixel di tracciamento nelle comunicazioni promozionali via posta elettronica.
Parallelamente l'Autorità italiana partecipa all'azione coordinata di vigilanza 2026 promossa dal Comitato europeo per la protezione dei dati. L'iniziativa, focalizzata sul rispetto degli obblighi di informazione e trasparenza (artt. 12, 13 e 14 GDPR), sta portando a verifiche sostanziali e non meramente formali sulla reale comprensibilità delle informative rese agli utenti.
Indicazioni strategiche per le imprese
Il quadro attuale impone un cambio di passo: la conformità in materia di protezione dei dati non può più essere gestita come adempimento burocratico isolato, ma deve integrarsi con le politiche di governo dei dati e dei sistemi di intelligenza artificiale. Le organizzazioni che trattano dati sanitari, effettuano campagne di marketing diretto, utilizzano strumenti di IA o gestiscono canali interni di segnalazione sono chiamate a condurre verifiche mirate per prevenire contestazioni e sanzioni amministrative.