Presentata alla Camera la relazione annuale 2024 sui dati personali

Il Garante per la protezione dei dati personali ha presentato il 15 luglio 2025 la Relazione sull’attività svolta nel quinto anno di mandato del Collegio.

La Relazione illustra i diversi fronti su cui è stata impegnata l’Autorità nel corso di un anno caratterizzato da interventi in ambiti fortemente innovativi - come le nuove tecnologie emergenti, l’intelligenza artificiale generativa, i modelli “pay or ok” e l’addestramento dei sistemi di IA tramite web scraping - accanto a costanti consolidate come il contrasto al telemarketing aggressivo, la tutela dei soggetti più vulnerabili e la protezione dei dati sanitari.

Intelligenza artificiale

Il 2024 è stato l’anno della conferma dell’intelligenza Artificiale in ogni attività e nel contempo della ricerca da parte del Garante di soluzioni in grado di conciliare la fame di informazioni di questa tecnologia con i diritti della persona. Lo stesso G7 a presidenza italiana ha posto l’IA e la persona umana al centro delle proprie riflessioni. Una delle questioni più significative ha riguardato il tema della governance e del ruolo delle Autorità, la cui centralità è stata affermata sia dal Comitato europeo per la protezione dei dati sia dalle Autorità del G7.

Nell’anno trascorso l’Autorità ha concluso l’istruttoria nei confronti di ChatGPT e ha ordinato a OpenAI, la società che gestisce il chatbot, la realizzazione di una campagna informativa e il pagamento di una sanzione di 15 milioni di euro.

Particolare attenzione è stata riservata all’uso dei dati biometrici e al diffondersi di sistemi di riconoscimento facciale. L’Autorità ha inviato un avvertimento a Worldcoin in relazione al progetto di scansione dell’iride in cambio di criptovalute, senza adeguate garanzie e la necessaria consapevolezza da parte degli utenti.

Significativi in ambito sanitario due pareri resi con riguardo al cosiddetto Ecosistema dati sanitari (EDS) e alla Piattaforma nazionale sulla telemedicina (PNT) nei quali il Garante ha ribadito che l’introduzione di sistemi di IA nella sanità digitale deve avvenire nel rispetto del GDPR, del regolamento sull’IA e di quanto indicato nel Decalogo in materia di IA adottato nel 2023.   

Significativo il contributo fornito dal Garante nel tracciare il percorso del Ministero della Giustizia verso la transizione digitale, in particolare, con riguardo ai presupposti per la corretta distruzione di atti e documenti originali analogici nei procedimenti civili.

Tutela dei minori e revenge porn

Sul fronte della tutela online dei minori, nell’anno trascorso, è proseguita l’azione di vigilanza sull’età di iscrizione ai social, anche attraverso sistemi di age verification. Particolare attenzione inoltre è stata dedicata allo sharenting, il fenomeno della condivisione online costante da parte dei genitori di contenuti che riguardano i propri figli/e (es. foto, video, ecografie).

In preoccupante aumento il fenomeno del revenge porn: 823 le segnalazioni inviate al Garante da persone che temono la diffusione di foto e video a contenuto sessualmente esplicito, quasi triplicate rispetto allo scorso anno. Le segnalazioni ricevute sono state trattate tempestivamente e, nella maggior parte dei casi, l’esame si è concluso con un provvedimento diretto alle piattaforme coinvolte per ottenere il blocco preventivo della diffusione delle foto e dei video.

Rapporto di lavoro e tutela dei consumatori

Numerosi, come in passato, i provvedimenti assunti nell’ambito del rapporto di lavoro, soprattutto con riguardo all’utilizzo della posta elettronica sul luogo di lavoro e all’impiego di sistemi di videosorveglianza. Proseguiti gli approfondimenti sull’impiego di algoritmi da parte di una primaria società di food delivery per l’organizzazione dell’attività dei rider. Tra le criticità emerse: scarsa trasparenza dei trattamenti automatizzati e geolocalizzazione dei lavoratori anche al di fuori dell’orario di lavoro. Vietato alla società l’ulteriore trattamento dei dati biometrici dei rider raccolti mediante riconoscimento facciale.

Sul fronte della tutela dei consumatori il Garante è intervenuto con decisione contro il telemarketing aggressivo con l’applicazione di pesanti sanzioni, la maggior parte delle quali riguardano l’utilizzo senza consenso dei dati degli abbonati. L’Autorità ha inoltre approvato il Codice di condotta per le attività di telemarketing e di teleselling ed ha accreditato l’organismo di monitoraggio.

Un capitolo importante ha riguardato il rapporto tra privacy e diritto di cronaca. Il Garante è intervenuto più volte per stigmatizzare l’eccesso di dettagli e le derive di morbosità e spettacolarizzazione di vicende tragiche e per assicurare le necessarie tutele.

Le cifre

Nel 2024 sono stati adottati 835 provvedimenti collegiali, di cui 468 sono provvedimenti correttivi e sanzionatori.

L’Autorità ha fornito riscontro a 4.090 reclami e 93.877 segnalazioni.

Le comunicazioni di notizie di reato all’autorità giudiziaria sono state 16.

Le sanzioni riscosse sono state oltre 24 milioni di euro.

Significativo il numero dei data breach (violazioni di dati personali) notificati nel 2024 al Garante da parte di soggetti pubblici e privati: 2204. Nel settore pubblico (498 casi), le violazioni hanno riguardato soprattutto Comuni, istituti scolastici e strutture sanitarie; nel settore privato (1706 casi) sono stati coinvolte sia PMI e professionisti sia grandi società del settore delle telecomunicazioni, energetico, bancario, dei servizi e delle telecomunicazioni. Nei casi più gravi sono stati adottati provvedimenti di tipo sanzionatorio.

Fonte: Relazione GDPR  15 luglio 2025