Il Garante Privacy ha pubblicato la newsletter n. 556 del 12 novembre 2026. Si riportano di seguito i principali punti.

Black Friday: vademecum

Il Garante Privacy ha pubblicato un vademecum per sostenere gli acquisti online in piena sicurezza in occasione del Black Friday: dalle accortezze per scovare i siti truffa ai pagamenti, dalle false notifiche di spedizione alla protezione dei dispositivi digitali. 

Vulnerabilità del sistema di refertazione online

Il Garante privacy ha sanzionato il Centro Radiologico Madonna della Bruna di Matera e la società informatica MedStore Srl di Saronno, rispettivamente per 16.000 euro e 12.000 euro perché i dati personali dei pazienti sono stati esposti pubblicamente in maniera indebita.

L’Autorità ha accertato che terzi non autorizzati potevano visualizzare, senza alcuna procedura di autenticazione, i dati contenuti nei referti online, a causa di una vulnerabilità di tipo IDOR (Insecure Direct Object Reference) della piattaforma della clinica.

Sanzionata Techpartner per 25.000 euro

Il Garante Privacy ha sanzionato per 25.500 euro Techpartner Srl, società con sede a Modena specializzata nella fornitura di attrezzature per l’industria alimentare.

L’Autorità ha accertato il ritardo nel riscontro alla richiesta di accesso ai dati personali di un ex dipendente e le modalità di gestione degli account di posta elettronica aziendale, dopo la cessazione del rapporto di lavoro.

Gli account devono essere disattivati e rimossi, prevedendo sistemi automatici per informare i mittenti e fornire recapiti alternativi, nonché misure per impedire al datore di lavoro di leggere i messaggi in arrivo.
La società, inoltre, entro 60 giorni dovrà adeguare i disciplinari interni sull’utilizzo degli strumenti informatici.

Telemarketing aggressivo

Un errore di digitazione di un numero telefonico da parte di un operatore non basta ad esonerare un’azienda dagli obblighi imposti dal Regolamento europeo. 

È il principio ribadito dal Garante Privacy nell’ambito di un procedimento sanzionatorio avviato nei confronti della società Business School S.r.l., attiva nel settore della formazione, dopo la segnalazione di un utente che era stato contattato per scopi promozionali nonostante la sua utenza fosse regolarmente iscritta al Registro pubblico delle opposizioni (RPO).

La Business School S.r.l.  aveva effettuato, per il tramite di un’operatrice, un contatto promozionale privo di idonea base giuridica, ma aveva anche ignorato per più di sette mesi la richiesta di esercizio dei diritti dell’interessato, ben oltre il termine massimo di un mese fissato dalla normativa privacy.

La società aveva tentato di difendersi attribuendo la chiamata a uno sbaglio materiale dell’operatrice nella composizione delle ultime cifre del numero – sostenendo che l’utenza non rientrasse nelle liste regolarmente acquistate da fornitori terzi – e imputando i ritardi nella risposta all’esercizio dei diritti, a disguidi interni e alla chiusura estiva. Giustificazioni che il Garante ribadisce non essere sufficienti a escludere la responsabilità del titolare del trattamento. 

Fascicolo sanitario elettronico e deleghe digitali

Il Garante Privacy ha espresso parere favorevole sullo schema di decreto per la transizione digitale della Presidenza del Consiglio dei Ministri, che aggiorna il funzionamento della Piattaforma di gestione deleghe (PGD) per l’accesso ai servizi digitali sanitari.

Per quanto riguarda il Fascicolo sanitario elettronico, sarà possibile autorizzare separatamente: la consultazione dei dati e dei documenti dell’assistito; la gestione dei consensi e delle relative revoche, degli oscuramenti e delle relative revoche, nonché l'accesso alle informazioni sulle operazioni effettuate sui dati e documenti; l’accesso ai servizi sanitari online messi a disposizione da Regioni e Province autonome; l’inserimento di dati e documenti nel taccuino personale dell’assistito.

Fonte: Newsletter Garante Privacy 12 novembre 2026 n. 556