Sanzioni a una società di vigilanza in tema di dati raccolti tramite il sistema di localizzazione satellitare GPS installato sull'autovettura aziendale, all’Istituto Nazionale di Ricerca Metrologica per la videosorveglianza, a Google per i dati di geolocalizzazione. Più tutele per i rider, vademecum per il recupero crediti e il caso Revolut. Ecco i temi della newsletter n. 552 del 30 settembre 2026 del Garante Privacy.

Dati Gps dell’auto aziendale

Il Garante per la protezione dei dati personali ha inflitto una sanzione di 39.000 euro a La Patria S.p.A. di Bologna, società di vigilanza e sicurezza tecnologica, per specifiche violazioni del Gdpr nel trattamento dei dati dei dipendenti. L’Autorità si era attivata a seguito del reclamo di un ex lavoratore al quale la società aveva negato l’accesso ai dati raccolti tramite il sistema di localizzazione satellitare GPS installato sull'autovettura aziendale a lui assegnata. L’interessato aveva chiesto di visionare e ottenere copia di tale documentazione per difendersi in una contestazione disciplinare con l’azienda che lo aveva licenziato.

Il titolare del trattamento, anche quando reputa di non poter dare seguito a istanze di esercizio dei diritti, deve comunque comunicare al richiedente i motivi del diniego, nonché l’esistenza del diritto di presentare ricorso all’autorità giudiziaria o reclamo al Garante privacy.

Più tutele per rider e lavoratori gestiti da piattaforme digitali

Il Garante Privacy ha espresso parere favorevole sullo schema di decreto legislativo che recepisce in Italia la Dir. UE 2024/2831 sul lavoro mediante piattaforme digitali, con particolare attenzione alla situazione dei rider. Nel complesso, l’Autorità considera lo schema coerente con la direttiva europea e con la normativa nazionale di delega. L'obiettivo è rafforzare le tutele dei lavoratori e rendere più trasparente l'utilizzo dell'intelligenza artificiale e dei sistemi automatizzati, evitando sovrapposizioni tra le diverse autorità di controllo.

Recupero crediti

È online la nuova edizione del vademecum "Privacy e recupero crediti", una guida pratica per orientare imprese specializzate nel recupero crediti, banche, finanziarie, società telefoniche o energetiche verso il pieno rispetto dei diritti fondamentali dei cittadini, prevenendo trattamenti illeciti o lesivi della dignità della persona. Il documento del Garante privacy ribadisce l’esigenza di un bilanciamento tra il legittimo interesse del creditore a recuperare le somme che gli sono dovute e la tutela della riservatezza del debitore. Stop a prassi invasive come sms o telefonate preregistrate.

Videosorveglianza: sanzioni per l’Istituto Nazionale di Ricerca Metrologica

Il Garante per la protezione dei dati personali ha comminato una sanzione di 10.000 euro all’Istituto Nazionale di Ricerca Metrologica (INRIM) di Torino a seguito dei reclami di due dipendenti che lamentavano una violazione dei dati personali e dell’art. 4 dello Statuto dei lavoratori in relazione all’impiego di un impianto di videosorveglianza. L’impianto era stato installato per motivi di sicurezza e doveva riprendere solo i muri e le recinzioni.

Nel corso dell’istruttoria è emerso che l’Istituto, dopo aver stipulato un accordo con le organizzazioni sindacali, aveva installato l’impianto in maniera non conforme alla planimetria condivisa. L’INRIM aveva poi attivato – all’insaputa dei dipendenti, seppur per sole finalità di test –i dispositivi in alcune giornate, durante gli orari di apertura degli uffici dando così luogo a un trattamento illecito dei dati personali dei propri lavoratori e di tutti i soggetti che a vario titolo erano presenti in sede.

Sanzioni per Google

Google è stato condannato a una multa di 403 milioni di euro comminata dall’Autorità irlandese per la protezione dei dati, per aver violato le norme europee (Gdpr) sull'utilizzo dei dati di geolocalizzazione dei propri utenti.

Il provvedimento è frutto della collaborazione dell’Autorità italiana Garante della Privacy con la Commissione irlandese per la protezione dei dati (DPC), l'ente che vigila su Google a livello europeo poiché la sede della società Google Ireland Ltd. si trova a Dublino. La Data Protection Commission (DPC) irlandese ha accolto integralmente le osservazioni formulate dal Garante italiano.

Caso Revolut

È partita una verifica immediata su eventuali falle nella sicurezza degli accessi delle banche italiane. Sia per appurare se vi siano stati altri casi di tentata infiltrazione - come nella vicenda Revolut dove un gruppo di hacker ha violato una PEC del Ministero dell’Interno - sia per richiamare gli istituti bancari a un controllo efficace al proprio interno.
Dagli uffici dell’Autorità è partita una comunicazione alla rete dei responsabili di protezione dati (Dpo) degli istituti bancari invitandoli ad una solerte verifica interna sui propri sistemi e, nel caso di falle accertate, a prendere subito contatto con l’Autorità.

L’Autorità Garante si è fatta promotrice di un’azione con l’Autorità omologa lituana (dove si trova la sede legale principale di Revolut), fornendo le informazioni in possesso del Garante italiano, e invitando ad uno scambio reciproco, così da rafforzare l’azione di contrasto. Inoltre, l’Autorità si è mossa sul fronte del Ministero degli Interni per inquadrare più approfonditamente la vicenda Revolut e appurare se vi siano altre banche o istituti finanziari coinvolti, circoscrivendo il danno avvenuto facendo emergere quanti e quali dati siano stati compromessi.

Fonte: Newsletter Garante Privacy 30 settembre 2026 n. 552