Succedono cose bizzarre su sito del Garante Privacy. Un provvedimento di indubbio interesse (perché colpisce un’altra authority nazionale) viene pubblicato nella notte tra lunedì 15 e martedì 16 giugno sul sito ufficiale del Garante, e poche ore dopo viene rimosso. Nel frattempo però il servizio WOW messo in piedi dall’ottimo Christian Bernieri aveva già acquisito i dati principali del provvedimento e ne aveva fatto un riassunto, diffondendolo a tutti gli iscritti alla relativa newsletter (con un’email inviata alle 0:04 del 16 giugno).
WOW (acronimo di Watchdog of the Watchdog, cioè letteralmente “cane da guardia del cane da guardia”) è appunto un servizio creato da Christian Bernieri che monitora costantemente l’attività del Garante per la Protezione dei Dati Personali, sfruttando un sistema di crawling automatico e di sintesi dei testi basato su intelligenza artificiale. Appena pubblicato un provvedimento, il tool WOW invia direttamente tramite newsletter le informazioni fondamentali e il sunto, spesso ancora prima dei comunicati ufficiali delle istituzioni o della stampa specializzata. [Vedi il sito di WOW]
Ecco perché al momento disponiamo di queste informazioni, che riporto qui sotto in calce e in versione screenshot. Per ottenere il testo integrale del provvedimento dovremo invece attendere che il Garante Privacy lo pubblichi nuovamente, oppure qualcuno dovrà fare un accesso civico a uno dei due enti pubblici interessati (Garante o AgID). Sarebbe anche interessante capire che cosa è successo e perché c’è stata questa rimozione. Forse qualche dato personale non era stato oscurato correttamente? Forse la diffusione del provvedimento disturbava troppo qualcuno di potente (ricordiamo che AgID fa capo alla Presidenza del Consiglio dei Ministri)?
_____________________________________________________
1) Destinatario: AgID – Agenzia per l’Italia digitale, Via Liszt 21, 00144 Roma (RM).
2) Sanzione: Euro 55.000.
3) Argomento: Mancata informativa su trasferimento PEC INI-PEC a INAD e principi GDPR violati da AgID.
4) Riassunto fatti e della violazione: Il Garante ha sanzionato AgID per violazioni relative alla gestione dell’Indice Nazionale dei Domicili Digitali (INAD). La principale violazione riguarda la mancata informazione preventiva e adeguata ai professionisti sul riversamento automatico dei loro indirizzi PEC dall’INI-PEC all’INAD e sulla successiva pubblicazione, rendendoli accessibili per finalità anche private, diverse da quelle originarie.
Questa omissione ha esposto i professionisti a rischi, come la ricezione di comunicazioni personali su caselle professionali gestite da terzi. AglD ha violato i principi di liceità, correttezza, trasparenza, limitazione della finalità, accountability e privacy by design e by default (artt. 5, 12, 14, 25 GDPR). Le misure informative iniziali sono state giudicate insufficienti e quelle più efficaci sono state adottate con notevole ritardo (luglio 2025, a due anni dall’avvio dei trattamenti). Sebbene alcune violazioni (erronea indicazione del service provider e cooperazione con l’Autorità) siano state archiviate, la condotta complessiva di AgID ha evidenziato una carenza nell’efficace e rapida attuazione delle misure a tutela degli interessati, in contrasto con il principio di accountability.
5) Ruolo assunto dai soggetti sanzionati, come titolare, responsabile del trattamento: AgID ha agito come titolare del trattamento dei dati personali in qualità di gestore dell’INAD.
