Con la newsletter n. 550 del 29 luglio 2026, il Garante Privacy ha sanzionato Piaggio & C. Spa per la raccolta sistematica delle email dei dipendenti, Altroconsumo Edizioni Srl per numerose violazioni della normativa privacy e la città di Sassari per un data breach. Il Garante ha inoltre espresso parere favorevole sullo schema di decreto legislativo che disciplina l’attuazione in Italia dell’AI Act europeo.

Raccolta sistematica delle email dei dipendenti

Il Garante ha irrogato a Piaggio & C. Spa una sanzione di 460.000 euro per violazioni della normativa sulla privacy relative alla gestione delle caselle di posta elettronica aziendale, alla conservazione dei dati e alle attività di controllo dei dipendenti.

Dall’istruttoria, avviata a seguito dei reclami di due ex dipendenti, è emerso che la società aveva effettuato accessi alle loro email aziendali, nel corso del rapporto di lavoro, per verificare la fondatezza di presunti comportamenti illeciti. In alcuni casi le email acquisite risalivano addirittura a circa due anni prima che la società maturasse tale sospettmo. I trattamenti messi in atto dalla società, infatti, si sono rivelati idonei a ricostruire l’attività dei dipendenti e ad effettuare un controllo a distanza.

Marketing: sanziona per Altroconsumo Edizioni

Il Garante ha sanzionato per 280.000 euro Altroconsumo Edizioni Srl per numerose violazioni della normativa privacy. Le contestazioni riguardano l’utilizzo dei dati degli utenti, raccolti mediante il sito www.altroconsumo.it per attività di email marketing, nonché il ritardo nel rispondere alle richieste di esercizio dei diritti.

Il Garante ha accertato che anche quando gli utenti decidevano di non confermare la creazione dell’account, e dunque di non iscriversi al sito, Altroconsumo considerava comunque perfezionato il rapporto contrattuale e procedeva all’invio di email promozionali.  Oltre alla sanzione pecuniaria, il Garante ha ordinato ad Altroconsumo di cessare il trattamento dei dati di chi non ha confermato la creazione del proprio account e di adeguare le procedure di trattamento dei dati al GDPR.

Data breach: sanzione per la Città Metropolitana di Sassari

Il Garante, a seguito di una notifica di data breach e di un reclamo, ha sanzionato la Città Metropolitana di Sassari per 12.000 euro per aver configurato erroneamente il proprio protocollo informatico, rendendo accessibili documenti contenenti dati personali a soggetti che, in ragione del ruolo ricoperto e delle mansioni svolte, non erano autorizzati a trattarli.

AI Act: sì allo schema di decreto legislativo

Il Garante ha espresso parere favorevole sullo schema di decreto legislativo che disciplina l’attuazione in Italia dell’AI Act europeo. Il decreto definisce il sistema nazionale di governance e vigilanza sull’intelligenza artificiale e designa il Garante quale Autorità di vigilanza del mercato per i sistemi di intelligenza artificiale ad alto rischio impiegati nei settori più sensibili per i diritti fondamentali, quali giustizia, attività di contrasto, immigrazione, gestione delle frontiere e processi democratici.

Nel dare il via libera, il Garante ha tuttavia indicato ulteriori condizioni e osservazioni per rafforzare la tutela dei diritti delle persone. Tra le principali richieste, il Garante propone che gli sia riconosciuto il potere di adottare linee guida, raccomandazioni e buone pratiche al pari delle altre Autorità competenti per l’AI; che siano chiarite le regole per l’applicazione delle sanzioni di sua competenza, secondo quanto previsto dal Codice privacy; e che sia coinvolto nelle attività dello Spazio di sperimentazione italiano per l’intelligenza artificiale.

Fonte: Newsletter Garante 29 luglio 2026 n. 550